Newsgroup: it.comp.os.win.xp
Titolo: Help: da 20 ore ASTRUSE chiavi di registro che si ricreano

Gentili lettori,
mi ripresento: per serissimi motivi (non scendo in particolari) sono ancora
utente di Windows 95. Ho già postato qui qualche volta. E ho un sacco di
domande da farvi, ma siccome non erano di particolare urgenza ho pensato di
farlo con calma.
Ora so che questo è il NG di XP ma è inutile andare in quello 9x perché è
defunto: non c'è nessuno e nessuno risponde.
Il problema urgente che ho scoperto 20 ore fa è che si creano in
continuazione ASTRUSE chiavi di registro e non so da cosa dipende, né
tantomeno come fermare questo SCEMPIO.
Aggiungo che sono un perfezionista e che ogni installazione o applicazione
che lancio la monitoro con appositi programmi e quindi so cosa modificano
nel Registro. Dopo aver scoperto il problema grazie a RegSupreme (che fino a
ieri non trovava alcuna voce non valida) ho pensato subito ad un virus,
trojan o simili e ho fatto scansione completa con NOD32 aggiornato: nessuna
infezione. Ieri per la prima volta RegSupreme mi ha trovato oltre 500
"chiavi vuote inutilizzate". Dopo averle rimosse credevo fosse tutto
risolto, invece ad ogni nuova scansione del Registro se ne riformano a
decine. Qui sotto vi incollo una tra le varie copie di backup di queste
voci:
[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Explorer\User
Assist\{5E6AB780-7743-11CF-A12B-00AA004AE837}\Count]
"HRZR_PGYPHNPbhag:pgbe"=hex:D1,07,00,00,02,00,00,00,00,00,00,00,00,00,00,00
"HRZR_PGYFRFFVBA"=hex:15,FA,38,0E,D2,07,00,00
"HRZR_HVGBBYONE"=hex:D1,07,00,00,0A,00,00,00,40,55,B8,9B,42,1F,C7,01
"HRZR_HVGBBYONE:0k1,125"=hex:D1,07,00,00,08,00,00,00,40,55,B8,9B,42,1F,C7,01
"HRZR_HVGBBYONE:0k1,120"=hex:D1,07,00,00,07,00,00,00,A0,06,D6,C3,40,1F,C7,01
"HRZR_EHAJZPZQ"=hex:D2,07,00,00,15,00,00,00,C0,E3,C5,60,43,1F,C7,01
"HRZR_EHAJZPZQ:0k2,n21n"=hex:D2,07,00,00,15,00,00,00,C0,E3,C5,60,43,1F,C7,01
"HRZR_EHACVQY"=hex:D1,07,00,00,0A,00,00,00,C0,BC,52,5B,42,1F,C7,01
"HRZR_EHACVQY:%pfvqy6%\\Encvqv\\ZnwbeTrrxf.hey"=hex:D1,07,00,00,06,00,00,00,
C0,BC,52,5B,42,1F,C7,01
"HRZR_EHACVQY:%pfvqy6%\\Encvqv\\Tbbtyr.hey"=hex:D1,07,00,00,08,00,00,00,80,7
8,02,64,40,1F,C7,01
"HRZR_EHACVQY:%pfvqy6%\\Encvqv\\NFGN.hey"=hex:D1,07,00,00,06,00,00,00,00,D8,
F2,A8,3A,1F,C7,01
Si formano tutte sotto la sottochiave: UserAssist\ sempre la solita
CLSID{5E6AB780-7743-11CF-A12B-00AA004AE837}\Count
C'è qualcuno, magari un Microsoft MVP, che mi sa spiegare il significato di
User Assist, cosa può essere la stringa MALEDETTA
{5E6AB780-7743-11CF-A12B-00AA004AE837}e cos'è Count?
Altro esempio:
[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Explorer\User
Assist\{5E6AB780-7743-11CF-A12B-00AA004AE837}\Count]
"HRZR_PGYPHNPbhag:pgbe"=hex:00,00,00,00,02,00,00,00,00,00,00,00,00,00,00,00
"HRZR_PGYFRFFVBA"=hex:00,00,00,00,00,00,00,00
"HRZR_EHACVQY"=hex:00,00,00,00,06,00,00,00,A0,68,B2,30,C7,1F,C7,01
"HRZR_EHACVQY:%pfvqy6%\\Encvqv\\ZnwbeTrrxf.hey"=hex:00,00,00,00,06,00,00,00,
A0,68,B2,30,C7,1F,C7,01
Come vedete le sottochiavi HRZR ecc. sono a mia esperienza assolutamente
insignificanti.
Tra le mie uniche possibili ipotesi c'è quella di un rootkit (ci sono una
decina di utility per i rootkit ma nessuna è compatibile con Win 95) solo
che come può essere successo? io non frequento siti dubbi, né scarico o
installo file dubbi, niente IM, niente P2P, come già detto niente virus,
trojan, malware. Inoltre con Process Explorer ho controllato TUTTI i
processi attivi in memoria e non ce n'è nessuno che non sia legittimo e da
me desiderato. Fatto controprove anche con RegVac e Norton WinDoctor e
nessun problema viene rilevato.
Io più di così non so proprio cosa fare, per questo spero ci sia qualcuno
che abbia letto e mi sappia dare la risposta esatta o sappia indirizzarmi
verso una possibile soluzione.
Grazie tante,
--
Gakomaus©

non ho idea di quello che stia succedendo al tuo computer, e non voglio
nemmeno dirti cosa dovresti fare (secondo me) perché ognuno ha i propri
gusti, però come diavolo fai a usare un sistema operativo che ha più di 12
anni? hai detto che sei un perfezionista, ci sono altri sistemi operativi
che ti GARANTISCONO l'assoluta trasparenza. non li fa né la microsoft né
Apple. scusa se non mi sono fatto i fattacci miei, la mia è pura curiosità

che come può essere successo? io non frequento siti dubbi, né scarico o
non c'entra nulla, purtroppo. In Win95 sono le applicazioni che hanno
il controllo del sistema, non viceversa: e' sufficiente che durante la
navigazione un esterno abbia approfittato di uno degli innumerevoli
buchi di questa ciofeca di sistema.
Un eventuale rootkit, se e' entrato, ha fatto strage, come un
fiammifero in una fabbrica di carta.
Puoi provare al limite ad avviare il comp con un cd live, tipo BartPE
o Damn Small Linux per fare una scansione antivirus. Provato
Hijackthis? Non ricordo se funge anche su Win95, ma che ti costa
provare?
[cut]

 provare?
Perché avviare il pc con BartPE (che tra l'altro non gira su 95)?
il computer si avvia e funziona come sempre, con i suoi bug secolari e con i
suoi pregi. E la scansione antivirus l'ho già fatta.
E ho HijackThis e non rileva niente di particolare, si lamenta solo che
molti dei siti presenti nel mio file Hosts a suo dire sarebbero dirottati,
ma io non ne ho la controprova e in realtà non mi è mai capitato di essere
dirottato, perciò... il log di HT non è facile da decifrare.
Grazie,
aspetto di vedere cosa succederà,
e se magari c'è qualche altro che mi possa dire se tutte queste chiavi di
registro sono hackerware o sono invece legittime.
--
Gakomaus©

 Assist\{5E6AB780-7743-11CF-A12B-00AA004AE837}\Count]
[...]
http://www.google.com/microsoft?q=5E6AB780-7743-11CF-A12B-00AA004AE837&hq=microsoft
http://www.utdallas.edu/~jeremy.bryan.smith/articles/explorer_spy.html
-- 
Vincenzo Di Russo
Microsoft® MVP - Most Valuable Professional
Windows - Internet Explorer since 2003
My home: 
http://mvp.support.microsoft.com/
My Blog:  
http://blogs.dotnethell.it/vincent/

aspetto di vedere cosa succederà,
Se vuoi posta qui il log di Hijackthis
[cut]

 perciò l'unica soluzione per liberarsi dell'hack è sostituire la memoria.
Questa è così bella che la racconto in giro :-)


MAAAAX ! Dove sei quando c'è bisogno di te ?
Bye, G.