Newsgroup: it.comp.sicurezza.windows
Titolo: sys.exe mancante

Salve a tutti, ho riformattato la partizione "C" di un computer con hdd 
partizionato (i due dischi erano C: e E: dato che il masterizzatore aveva 
preso la lettera D)
con windows HE . installato nod32 2007 licenziato, ZA free, adaware2007, 
fatti tutti gli agg. a windows .... etc.
Succede questo: se provo a clikkare sul disco D: da risorse del computer mi 
apre l'elenco dei file col quale aprire il file "D:"  riesco pero' ad 
entrare con l'opzione Esplora del disco in questione.
Siccome ho dovuto riformattare a causa del virus o trojan "SYS.exe" ho fatto 
una ricerca nel registro con regedit ed l'ho trovato qui : 
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{41e1809a-46a0-11dc-a996-00179ac7e3e6}\Shell\Auto\command 
(sotto la voce  Predefinito = sys.exe)
e anche nella chiave: 
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{41e1809a-46a0-11dc-a996-00179ac7e3e6}\Shell\AutoRun\command 
(stavolta  sotto predefinito c'e': C:\WINDOWS\system32\RunDLL32.EXE 
Shell32.DLL,ShellExec_RunDLL sys.exe)
e anche in : 
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{57ab8bab-4406-11dc-abe5-806d6172696f}\Shell\Auto\command 
((sotto la voce  Predefinito = sys.exe)
e ancora: 
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{57ab8bab-4406-11dc-abe5-806d6172696f}\Shell\AutoRun\command
etc ...
Notare che il file sys.exe non esiste nel pc.
Ho fatto ricerche su internet senza alcun successo.
Ho scannerizzato con tutto quello che potevo usare online e non, risultato: 
niente di niente.
Potete per favore aiutarmi?
Grazie, Gianfranco
 

 ha scritto nel messaggio
news:bwXui.22475$pd1....@tornado.fastwebnet.it...

A me puzza di rootkit


gia' .... allego il log di hijack:
Logfile of Trend Micro HijackThis v2.0.0 (BETA)
Scan saved at 18.19.35, on 10/08/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
Boot mode: Normal
Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programmi\Lavasoft\Ad-Aware 2007\aawservice.exe
C:\Programmi\Diskeeper Corporation\Diskeeper\DkService.exe
C:\Programmi\File comuni\Microsoft Shared\VS7Debug\mdm.exe
C:\Programmi\Eset\nod32krn.exe
C:\WINDOWS\system32\wscntfy.exe
C:\WINDOWS\Explorer.EXE
C:\Programmi\Eset\nod32kui.exe
C:\Programmi\Zone Labs\ZoneAlarm\zlclient.exe
C:\Programmi\D-Link\AirPlus G\AirGCFG.exe
C:\Programmi\ANI\ANIWZCS2 Service\WZCSLDR2.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Documents and Settings\Sasso\Desktop\hj\HiJackThis_v2.exe
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = 
http://www.google.it/
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = 
http://windowsupdate.microsoft.com/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = 
Collegamenti
O4 - HKLM\..\Run: [nod32kui] "C:\Programmi\Eset\nod32kui.exe" /WAITSERVICE
O4 - HKLM\..\Run: [ZoneAlarm Client] "C:\Programmi\Zone 
Labs\ZoneAlarm\zlclient.exe"
O4 - HKLM\..\Run: [SiSUSBRG] C:\WINDOWS\SiSUSBrg.exe
O4 - HKLM\..\Run: [D-Link AirPlus G] C:\Programmi\D-Link\AirPlus 
G\AirGCFG.exe
O4 - HKLM\..\Run: [ANIWZCS2Service] C:\Programmi\ANI\ANIWZCS2 
Service\WZCSLDR2.exe
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Programmi\Messenger\msmsgs.exe" /background
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 
'SERVIZIO LOCALE')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 
'SERVIZIO DI RETE')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 
'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 
'Default user')
O4 - Global Startup: Microsoft Office.lnk = C:\Programmi\Microsoft 
Office\Office10\OSA.EXE
O8 - Extra context menu item: E&sporta in Microsoft Excel - 
res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - 
http://www.kaspersky.com/kos/eng/partner/default/kavwebscan_unicode.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - 
http://www.update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1186396374156
O22 - SharedTaskScheduler: Precaricatore Browseui - 
{438755C2-A8BA-11D1-B96B-00A0C90312E1} - C:\WINDOWS\System32\browseui.dll
O22 - SharedTaskScheduler: Daemon di cache delle categorie di componenti - 
{8C7461EF-2B13-11d2-BE35-3078302C2030} - C:\WINDOWS\System32\browseui.dll
O23 - Service: Ad-Aware 2007 Service (aawservice) - Lavasoft AB - 
C:\Programmi\Lavasoft\Ad-Aware 2007\aawservice.exe
O23 - Service: ANIWZCSd Service (ANIWZCSdService) - Alpha Networks Inc. - 
C:\Programmi\ANI\ANIWZCS2 Service\ANIWZCSdS.exe
O23 - Service: Diskeeper - Diskeeper Corporation - C:\Programmi\Diskeeper 
Corporation\Diskeeper\DkService.exe
O23 - Service: NOD32 Kernel Service (NOD32krn) - Eset  - 
C:\Programmi\Eset\nod32krn.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - 
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
--
End of file - 3609 bytes