Newsgroup: it.comp.os.win.xp
Titolo: I processi fan sempre 100!!! (CPU sempre a palla)!!!

Raga help!
A fatica sto scrivendo queste righe col mio nb Pavilion hp dv6276ea.
(Windows XP SP3.)
Da ieri sera cpu a palla! 59° cpu e hdd 85°!!!!
Programmi tipo antivirus che occupano la cpu al 50%
Tutto, ovviamente, lentissimo al limite del blocco.
Ma soprattutto cosa può essere a tirare il collo al mio nb?
La somma dei primi n processi fa sempre 100!!!
Con n che va da 2 a 10.
Indipendentemente dal processo!!!
Se ne killo uno, un altro prende il suo posto, fino a quando non
riesco più a killarli!
Somma sempre = 100!
Avast non mi ha segnalato alcun virus.
Cambiano sempre sti processi! Anche task manager, a volte, arriva al
50%, oppure Process explorer o, come detto, avast.
Ho già fixato alcune voci tramite HijackThis ed eliminato quasi tutto
di ciò che partiva all'avvio.
Uso Comodo firewall.
Non posso credere che solo il formattone risolva :(
Help! Tnx!

 Help! Tnx!
Se non hai individuato niente di sospetto fra i processi del 
taskmanager o con process explorer, direi che si tratta di un 
rootkit. Prima di "credere" perï¿œ fa un tentativo con Security 
TaskManager (la versione di prova credo non basti; ci vuole la 
full); ti fa vedere tutto quello che corre nel PC: drivers 
compresi. Se sei bravo potresti individuare anche il rootkit, se 
si tratta di un rootkit; ma questo non significa che lo puoi 
eliminare, non sempre ï¿œ possibile, specialmente in un notebook.  
Ed anche se lo puoi eliminare, a volte il risultato ï¿œ un blu 
screen, senza via d'uscita, all'avvio. Per cui alla fine, a meno 
di un colpo di fortuna, sarai sempre costretto a "credere".
-- 
Postato da Virgilio Newsgroup: lo usi da web ma con le funzioni del newsreader 
http://newsgroup.virgilio.it
Gerarchie it, italia, it-alt, tin, it.binari. Unico!

 rootkit.
Di sospetto non c'è nulla!
Ci sono i processi che, a caso, mi saturano la CPU!
Ho provato a killarli uno per uno, ma quando mi son trovato due
processi di avast ognuno che prendeva il 50% e non si killavano, mi
sono arreso :(
Con la miriade di tools che ci sono in giro, continuo a non credereche
l'unica via di uscta sia il formattone...
Tnx!
--
Gregor

 Tnx!
Proprio perchï¿œ gli exe vengono saturati uno dopo l'altro, viene 
da pensare che sia un rootkit. Ma non ï¿œ escluso che il colpevole 
sia proprio Avast: mi ï¿œ giï¿œ capitato di doverlo disinstallare, 
dopo un aggiornamento, per risolvere problemi di PC con 
sovracarico della CPU. Prova. I rootkits vengono caricati come 
dei drivers al momento stesso in cui si avvia il sistema; non ï¿œ 
perciï¿œ possibile cancellarli perchï¿œ sempre in funzione ad ogni 
riavvio, prima ancora che si carichi un eventuale tool di 
rimozione. I tools contro i rootkits sono perciï¿œ quasi sempre 
senza alcun effetto o di effetto temporaneo: cancellano il file 
secondario ma non il driver ed il file secondario a volte poi si 
ripresenta e delle volte anche con un nome diverso random, cosï¿œ 
ï¿œ piï¿œ difficile identificarlo. Conoscendo qual'ï¿œ il file (ma piï¿œ 
spesso i files: di solito 2, il driver che viene caricato 
all'avvio e l'eseguibile, quasi sempre un trojan, al quale il 
driver ha aperto una backdoor)(ecco perchï¿œ dico di usare 
Security task manager: ï¿œ un anti-niente, perï¿œ rende l'utente, se 
capace, il miglior antimalware possibile, facendogli individuare 
i files malware, che se possibile si possono cancellare con STM 
stesso o direttamente di persona o, se non ï¿œ possibile, tramite 
un live cd o mettendo l'HD in un altro sistema operativo. Perï¿œ 
spesso la conseguenza del cancellare il driver ï¿œ un blue screen 
all'avvio perchï¿œ la chiave che lo lancia ï¿œ nel Control set del 
registro dove sono indicati i drivers da caricare all'avvio. 
Poichï¿œ non viene trovato si genera il blue screen. L'unico 
rimedio a questo ï¿œ la sostituzione del registro con uno snapshot 
precedente all'infezione. Sostituzione che ovviamente devi fare 
a sistema operativo non avviato. Questa sostituzione puï¿œ anche 
rendere non necessaria la cancellazione dei files, perchï¿œ senza 
la chiave che lo lancia il rootkit ï¿œ innoquo (potresti provare 
ad effettuare un ripristino configurazione del sistema; se 
funziona, ma se si tratta davvero di un rootkit questa funzione 
dovrebbe essere disattivata). Sei capace di fare tutto questo? 
Se si buon per te; ma non ï¿œ detto al 100% che ti risparmi di 
formattare, perchï¿œ un rootkit che si rispetti cancella anche i 
punti di ripristino (io da questo mi premunisco facendo di tanto 
in tanto un copia ed incolla degli snapshots del registro dei 
punti di ripristino piï¿œ recenti). Il lavoro ï¿œ tanto e dai 
risultati incerti; e tieni conto che questa esposizione ï¿œ solo 
superficiale: ci sono tante altre cose da tenere in 
considerazione. Per cui l'approccio migliore potrebbe essere 
quello di salvare quello che interessa e formattare.


 Da ieri sera cpu a palla! 59� cpu e hdd 85�!!!!
[snip]
L'indicatore del task 'interrupt' di ProcessExplorer (il secondo 
dall'alto) � a palla pure quello?
-- 
-> GbC|
www.gbcweb.com
www.chiappori.com
 

 quello di salvare quello che interessaeformattare.
:(
Ho fatto passare (anche se dopo aver letto questo messaggio credo sia
stato inutile) adaware, Spybot&Destroy e A2 free che mi hanno
cancellato poca roba a dire il ver e al riavvio nulla è cambiato.
Avira Live (boot da cd) anche se non ho potuto fare un aggiornamento
non essendo il nb in rete in questo momento non ha rilevato virus dopo
una scansione di un'ora.
Pensavo di provare altri anti virus live ma adesso proverò STM.
Sophos Anti-Rootkit dici che potrebbe aiutarmi?
Grazie per la risposta!
--
Gregor

 registro dove sono indicati i drivers da caricare all'avvio.
Un 'control.exe' c'è come processo...può essere quello di cui parli?
Adesso all'avvio mi partono un paio di finestre cmd (dos) con
segnalazioni di file che non vengono trovati.
Mi basta killare e rilanciare explorer.exe mi carica il desktop...però
con lo stesso problema...
--
Gregor

 dall'alto) è a palla pure quello?
Scusa, dove lo leggo questo interrupt?
--
Gregor

Non posso credere che solo il formattone risolva :(
Se hai preso un rootkit � molto probabile che alla fine si debba formattare.
Un buon consiglio � fare una copia della partizione con il s.o. (a sistema
pulito naturalmente) su un HD esterno con un programma come clonezilla o
trueimage per poter ripristinare facilmente tutto in pochi minuti in caso di
problemi.
--
ciao
  Stefano

 problemi.
Ho un ghost, ma i molti programmi saranno da aggiornare...
Tnx!
--
Gregor

Ho un ghost, ma i molti programmi saranno da aggiornare...
Bisogna aggiornare regolarmente anche le copie, io ho 3 versioni salvate di
questo s.o. sull'HD di backup.
--
ciao
  Stefano

 questo s.o. sull'HD di backup.
Aggiornamenti di ghost non ne ho mai fatti, sarà un mio limite, ma
onestamente raramente ne ho avuto bisogno.
Per la cronaca, sono ore che SpyBott sta scansionando...è partito dopo
l'ennesimo riavvio...appena termina passo i rootkit ma giò ho preso in
mano il dvd col ghost :(


Il Controll set ï¿œ una chiave del registro ed ï¿œ la prima che 
viene caricata all'avvio. Contiene tutte le impostizioni del 
sistema e le informazioni sui drivers ed i servizi da caricare. 
Control.exe? Il nome mi scava nella memoria: credo che ci sei, 
deve essere quello. Vedi di trovare il suo percorso con un 
taskmanager o process explore. Se ï¿œ nella cartella C:\Documents 
and Settings\...non ï¿œ legittimo e potrebbe essere davvero lui. 
Se ï¿œ cosï¿œ sei fortunato non ï¿œ un rootkit. Guarda anche in 
pannello di controllo -> installazione applicazioni se ci sono 
delle cose che non hai installato tu o comunque sconosciute. 
Potrebbe esserci una voce tipo Favorit (che riscontro spesso 
quando vi sono degli exe (spywares o trojans)nelle sottocartelle 
di C:\Documents and Settings. Disinstallalo.


 Sophos Anti-Rootkit dici che potrebbe aiutarmi?
Non saprei. Io non ho mai avuto alcuna utilitï¿œ da questi 
software; forse perchï¿œ sono abituato a fare tutto di persona: 
uso pochissimo anche l'antivirus (che ï¿œ anche antispyware) che 
ho impostato solo per segnalare: poi faccio io. Comunque sono 
dell'opinione che se un antirootkit ha effetto senza un 
successivo e competente intervento di persona vuol dire che non 
si trattava di un vero rootkit.


 Scusa, dove lo leggo questo interrupt?
http://www.chiappori.com/public/MsDIRTY.jpg


 Poichè non viene trovato si genera il blue screen. L'unico
Ormai sto andando avanti a scopo "didattico", pronto a formattare
quando non ne avrò più voglia ;)
Dunque: provato GMER ed ecco il blue screen...due volte.
Lanciato invece dopo aver killato una serie di processi, GMER sta
andando avanti da diversi minuti...attendo la sua risposta.
A breve farò girare anche Sophos Anti-Rootkit.
Avast sono riuscito a rimuoverlo in modalità provvisoria tramite un
exe messo a disposizione dal produttore.
Problema non risolto, quindi non era avast il problema.
Adesso avvio il sistema senza programmi all'avviao (monitorati da
CCleaner).
Ogni tanto, per dare respiro alal cpu killo qualche processo, ma dopo
pochi minuti la cpu torna al 100% con altri processi alla carica!
Ho notato che dopo aver lanciato e poi chiuso un'applicazione, questa
resta come processo ed immancabilmente con più del 20% di utilizzo
CPU...strano no?
Al prossimo aggiornamento.

 Al prossimo aggiornamento.
Ma hai controllato da dove viene lanciato control.exe? Se ï¿œ 
nella cartella C:\WINDOWS\system32 ï¿œ legittimo, se ï¿œ da un'altra 
parte no. Comunque anche se legittimo non ï¿œ un processo che 
normalmente si trova nel taskmanager, per cui qualche cosa lo 
deve avere avviato. Prova a chiuderlo e vedi che succede.
Prova anche a vedere se funziona il regedit, il pannello di 
controllo, le proprietï¿œ del desktop (se ci sono tutte le voci in 
alto), strumenti di amministrazione->Servizi.


 alto), strumenti di amministrazione->Servizi.
Sì sì funziona tutto.
Il rootkit di Sophos trova una chiave che non riesce ad eliminare;
l'ho rimossa a mano.
Adesso sto facendo un chkdsk e ci sta mettendo una vita....

 alto), strumenti di amministrazione->Servizi.
Credo di essere arrivato al capolinea!
Il removal rootkit di McAfee mi ha trovato un paio di chiavi...le ho
rinominate e al riavvio successivo schermata blue e ciao ciao Windows!
Sto provando col cd di avvio di Win ma la vedo dura...

 dura...
Senza gli snapshots del registro dei punti di ripristino Windows 
non lo puoi piï¿œ recuperare ad una data recente; al massimo lo 
recuperi come era esattamente al momento della prima 
installazione. Hai una solo possibilitï¿œ: che ti ricordi quali 
sono le due chiavi che hai rinominato ed accedendo al registro 
con un liveCD le nomini come erano. Se non si ï¿œ degli smanettoni 
molto avanzati che sanno perfettamente quello che fanno, questi 
tool antirootkit, che sono fra l'altro dei software molto 
approssimativi, ed hanno bisogno di inputs esperti, diventano 
piï¿œ micidiali dei rootkit. Lo so control.exe in system32 apre il 
pannello di controllo; ma ï¿œ un exe da linea di commando (cmd) 
anche se poi si apre pure con il doppio click. Non deve apparire 
nel taskmanager; se appare c'ï¿œ qualche cosa che non va.


 Credo di essere arrivato al capolinea!
Sto ripartendo da un vecchio ghost...
Grazie a tutti per la collaborazione.
E' la prima volta che mi imbatto in un rootkit...spero sia l'ultima.
Qualche SW che mi aiuti a starne alla larga?
Chessò, qualcosa che si mette in ascolto...
Tnx!
--
Gregor

Chess�, qualcosa che si mette in ascolto...
Puoi usare varie precauzioni come ad esempio sandbox o cose simili, per� credo
che siano validi i consigli che ti avevo gi� dato.
Prima di tutto attenzione a come si naviga e evitare siti a rischio, poi se ci
si vuole andare lo stesso meglio prendere delle precauzioni.
Io ad uno che aveva il pc impestato (e guardando la cronologia c'erano
praticamente solo siti porno) ho consigliato di usare una live di ubuntu con il
suo firefox, in modo che quando spegne il pc sparisca tutto.
Poi aggiorna l'immagine di backup quando fai nuove installazioni, in caso di
problemi grossi risolvi in pochi minuti.
--
ciao
  Stefano

 con un liveCD le nomini come erano.
Ho già ripristinato il ghost...le chiavi non me le ricordo...
Tnx cmq!
--
Gregor


Un'immagine incrementale non l'ho mai fatta, proverò con Acronis True
Image con il quale mi sono trovato bene per creare immagini full. Che
dici?
Tnx!

dici?
Va bene anche ghost che hai gi� usato, ti fai un DVD ogni volta che fai
aggiornamenti importanti o nuove installazioni.
Io mi sono abituato a clonezilla, ma anche True Image fa il suo dovere.
--
ciao
  Stefano