Newsgroup: it.comp.os.win.xp
Titolo: Aiuto registro task manager


Oggetto: Regedit disabilitato    HELP
Data: domenica 2 novembre 2003 12.51
Per avere i driver ODBC ho reinstallato Win xp.
Alla prima installazione di aggiornamento i driver per incanto sono
ricomparsi.
Il pc sembrava uguale a prima tranne ... impossibilità di connessione ad
internet.
Dopo 4 tentativi di aggiornamento ho renstallato da zero.
A questo punto avevo i driver la connessione e tutti i programmi da
reinstallare.
Sembra tutto finito al meglio ma ...
Alla prima connessione mi becco il worm blast.
E si perchè reinstallando windows non c'è la patch di protezione ne' il
firewall.
Poco male scarico una patch per ripulire il pc e il worm scompare.
Tutto a posto?
No
Regedit non parte più e neppure Task manager (neppure con ctrl alt canc).
Perchè?
Probabilmente il worm in qualche sua variante li disabilita per evitare di
essere lui disabilitato manualmente.
Avete qualche idea oltre che reinstallare windows, installare la patch o un
firewall prima della prima connessione?
Ho scaricato un progrmma di editor di registro ... almeno li posso agire
ciao Ezio

 Poco male scarico una patch per ripulire il pc e il worm scompare.
[...]
Una patch x ripulire il pc è un controsenso. O hai installato la patch della
MS o hai eseguito il tool di rimozione, sono 2 cose distinte. (da fare
entrambe).
Cmq per avviare regedit e task manager ti basta rinominare regedit.exe e
taskmgr.exe con un qualsiasi altro nome.
-- 
_-=SiMcarD=-_
(~ICQ: 59575403 ^_^ C6: simcard78~)
--\Now despammed/--
"Avere la coscienza pulita è segno di cattiva memoria"

 taskmgr.exe con un qualsiasi altro nome.
Neppure le copie si avviano.
O meglio partono e si arrestano subito.
In modalità provvisoria funzionano.
C'è un programma SYSMON.EXE nell'avvio di registro che, se viene cancellato
tramite l'editor,alla successiva verifica ricompare.
In pratica non è possibile eliminare la chiamata dal registro.
In modalità provvisoria è possibile ma al successivo avvio, di win in
modalità normale, me lo ritrovo nel registro.
Temo che non sia blast ma qualcosa d'altro che gli anti virus non beccano.
ciao Ezio

Perchč?
Provato chkdsk /v seguito da sfc /scannow?
[cut]

Alla fine ho risolto.
Anche se non so se definitivamente.
Avevo un programma di nome SYSMON.EXE che si comportava come un virus.
Bloccava Task manager per non essere disattivato; Reg edit per non essere
eliminato dalle chiavi di registro; modificando il registro con un altro
programma provvedeva immediatamente a modificare il registro stesso per
essere lanciato alla succesiva esecuzione.
Inoltre eseguendo una ricerca su C:\ non era possibile trovarlo (?????).
Era in System32.
L'unico modo per disattivarlo è stato cambiargli il nome.
Che sia un prodotto microsoft impazzito?
Non so cosa sia.
Gli antivirus non lo individuano.
Ho visto che molti Worm e Trojans usano quel nome.
Però non riconosco gli altri sintomi dei trojans conosciuti.
Ricapitolando:
1) Se si  riinstalla XP torna tutto a posto per quel che riguarda ODBC
2) Se si riinstalla XP con il disco originale bisogna impedirgli il primo
accesso ad internet e installare subito un firewall e quindi procedere
all'aggiornamento di XP.
3) Occhio a SYSMON.EXE in system32
Ciao Ezio