Newsgroup: it.comp.sicurezza.windows
Titolo: riavvio continuo pc - formattazione (inefficace?!)

Buongiorno a tutti,
vi elenco di seguito cio' che mi è accaduto una settimana fa:
* Avevo bisogno di trovare un programma per registrare la radio da internet:
ho individuato in stepvoice il programma a me adatto e ne ho trovate in rete
diverse copie. Purtroppo sono stato poco accorto e...dopo aver cliccato sul
file eseguibile di una di queste copie il pc rallenta molto fin quasi a
bloccarsi.
Decido così di riavviare.
Purtroppo, da quel momento il riavvio diventa continuo ovvero dopo l'avvio
di windows e dei vari programmi segue, dopo circa un minuto, un nuovo
riavvio.
Ogni tanto mi compare il seguente messaggio (tipo pop-up) : iexplorer.exe -
Errore di applicazione (cornicetta alta di colore azzurro), L'istruzione a
"0x74916b37" ha fatto riferimento alla memoria a "0x00000024". La memoria
non poteva essere "read". Fare click su OK per terminare l'applicazione
(sotto
vicino a un pallino rosso con x bianca)
* Programmi da me tutti utilizzati per la sicurezza del pc: antivirus -
mcafee viruscan enterprise 8.0i -, firewall - mcafee personal firewall -,
Ad-Aware SE
professional 1.06, Spybot - Search & Destroy 1.4, spamkiller mcafee
* Non so cosa sia successo: è un virus? che tipo di virus? potrebbe essere
un rootkit?
* Pertanto, in modalità normale non riesco a far nulla e quindi tento con la
modalità provvisoria (non so si può definire così: prima dell'avvio di
windows
clicco F8 e nel menu scelgo di ripristinare l'ultima configurazione
funzionante di windows). Così posso salvare tutti i miei dati e far la
scansione
antivirus  (riesco a utilizzare solo quelli "leggeri" come avast ma non
norton, mcafee viruscan, kaspersky, nod32...)
* Provo a intervenire anche sul menù di avvio ( esegui - msconfig...) ma non
vedo voci strane...
* A questo punto decido di formattare...dopo di che, mi appresto a fare gli
aggiornamenti di windows (windows update) ma non si riesce, installo spybot
e non
si riesce ad aggiornarlo...ma cosa è ancora presente sul mio pc dopo la
formattazione?
Il problema del riavvio del pc  è però risolto!!!
Installo zonealarm, mcafee viruscan enterprise 8.0i...riesco a fare il
windows update e l'aggiornamento di spybot.
Con la scansione di spybot si rileva uno spyware "alexa related"
(c:\windows\web\related.htm) e mcafee viruscan rileva e soltanto blocca
(bloccato da
protezione dell'overflow buffer) "bo:stack"
(c:\windows\system32\svchost.exe::loadlibraryA  -
c:\windows\system32\svchost.exe::getprocaddress) oltre a un
worm (che riesce a eliminare) "w32/sdbot.worm. gen.y" (per Symantec è
conosciuto come Backdoor.Sdbot.AP)
* Provo allora a formattare un'altra volta...non mi collego a internet e
installo prima i programmi per la sicurezza (come antivirus provo norton al
posto di
mcafee e come firewall sempre zonealarm al posto mcafee personal firewall).
In ogni caso zonelarm rileva la presenza dello spyware "alexa toolbar" e
norton  segnala: "microsoft generic host process for win32 services sta
tentando di
accogliere connessioni di atri computer - indir loc: tutte schede rete loc
1026 - programma: svchost.exe - c:\windows\system32"
In questi giorni con i vari programmi per la sicurezza attivi e aggiornati
non ho avuto alcun problema (ne ho fatti girare altri, tra cui Prevx1,
sempre
senza rilevare nulla di dannoso per il pc).
Cosa poteva causare i continui riavvii del pc?
E ora posso star tranquillo?
Ma dopo la formattazione il pc non dovrebbe risultare "pulito"?
Un grazie anticipato.
Izio
p.s. Vi riporto sotto le scansioni di Hijackthis e Startuplist:
***
Logfile of HijackThis v1.99.0
Scan saved at 22.47.16, on 09/01/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.5730.0011)
Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
C:\Programmi\File comuni\Symantec Shared\ccSvcHst.exe
C:\Programmi\File comuni\Symantec Shared\AppCore\AppSvc32.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Programmi\Zone Labs\ZoneAlarm\zlclient.exe
C:\Programmi\File comuni\Symantec Shared\ccApp.exe
C:\Programmi\File comuni\Real\Update_OB\realsched.exe
C:\Programmi\QuickTime\qttask.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programmi\Messenger\msmsgs.exe
C:\Programmi\Symantec\LiveUpdate\ALUSchedulerSvc.exe
C:\Programmi\Prevx1\PXConsole.exe
C:\Programmi\Prevx1\PXAgent.exe
C:\WINDOWS\system32\NOTEPAD.EXE
E:\hijackthis\HijackThis.exe
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =
Collegamenti
O2 - BHO: Adobe PDF Reader Link Helper -
{06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmi\Adobe\Acrobat
7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} -
C:\Programmi\Spybot - Search & Destroy\SDHelper.dll
O2 - BHO: Malicious Scripts Scanner -
{55EA1964-F5E4-4D6A-B9B2-125B37655FCB} - C:\Documents and Settings\All
Users\Dati applicazioni\Prevx\pxbho.dll
O2 - BHO: NetXfer - {83B80A9C-D91A-4F22-8DCF-EA7204039F79} -
C:\Programmi\Xi\NetXfer\NXIEHelper.dll
O3 - Toolbar: NetXfer - {C16CBAAC-A75C-4DB5-A0DD-CDF5CAFCDD3A} -
C:\Programmi\Xi\NetXfer\NXToolBar.dll
O4 - HKLM\..\Run: [Zone Labs Client] "C:\Programmi\Zone
Labs\ZoneAlarm\zlclient.exe"
O4 - HKLM\..\Run: [ccApp] "C:\Programmi\File comuni\Symantec
Shared\ccApp.exe"
O4 - HKLM\..\Run: [osCheck] "C:\Programmi\Norton AntiVirus\osCheck.exe"
O4 - HKLM\..\Run: [TkBellExe] "C:\Programmi\File
comuni\Real\Update_OB\realsched.exe"  -osboot
O4 - HKLM\..\Run: [QuickTime Task]
"C:\Programmi\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [PrevxOne] "C:\Programmi\Prevx1\PXConsole.exe"
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Programmi\Messenger\msmsgs.exe" /background
O4 - Global Startup: Avvio veloce di Adobe Reader.lnk =
C:\Programmi\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O8 - Extra context menu item: Salva oggetto con NetXfer -
C:\Programmi\Xi\NetXfer\NXAddLink.html
O8 - Extra context menu item: Salva tutti gli oggetti con NetXfer -
C:\Programmi\Xi\NetXfer\NXAddList.html
O9 - Extra button: Ricerche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} -
C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} -
%windir%\Network Diagnostic\xpnetdiag.exe (file missing)
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 -
{e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network
Diagnostic\xpnetdiag.exe (file missing)
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} -
C:\Programmi\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger -
{FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O11 - Options group: [INTERNATIONAL] International*
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) -
http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1168264390677
O17 -
HKLM\System\CCS\Services\Tcpip\..\{26365C24-2499-49DB-823A-96A7E52F045C}:
NameServer = 85.37.17.42 85.38.28.87
O23 - Service: Symantec Event Manager - Symantec Corporation -
C:\Programmi\File comuni\Symantec Shared\ccSvcHst.exe
O23 - Service: Symantec Settings Manager - Symantec Corporation -
C:\Programmi\File comuni\Symantec Shared\ccSvcHst.exe
O23 - Service: Symantec Lic NetConnect service - Symantec Corporation -
C:\Programmi\File comuni\Symantec Shared\ccSvcHst.exe
O23 - Service: Convalida password di Symantec IS - Symantec Corporation -
C:\Programmi\Norton AntiVirus\isPwdSvc.exe
O23 - Service: LiveUpdate - Symantec Corporation -
C:\PROGRA~1\Symantec\LIVEUP~1\LUCOMS~1.EXE
O23 - Service: Prevx Agent - Prevx - C:\Programmi\Prevx1\PXAgent.exe
O23 - Service: Symantec Core LC - Symantec Corporation - C:\Programmi\File
comuni\Symantec Shared\CCPD-LC\symlcsvc.exe
O23 - Service: Symantec AppCore Service - Symantec Corporation -
C:\Programmi\File comuni\Symantec Shared\AppCore\AppSvc32.exe
O23 - Service: Utilità di pianificazione di LiveUpdate automatico - Symantec
Corporation - C:\Programmi\Symantec\LiveUpdate\ALUSchedulerSvc.exe
O23 - Service: TrueVector Internet Monitor - Zone Labs, LLC -
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
*********
StartupList report, 09/01/2007, 22.50.18
StartupList version: 1.52
Started from : E:\startuplist\StartupList.EXE
Detected: Windows XP SP2 (WinNT 5.01.2600)
Detected: Internet Explorer v7.00 (7.00.5730.0011)
* Using default options
==================================================
Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
C:\Programmi\File comuni\Symantec Shared\ccSvcHst.exe
C:\Programmi\File comuni\Symantec Shared\AppCore\AppSvc32.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Programmi\Zone Labs\ZoneAlarm\zlclient.exe
C:\Programmi\File comuni\Symantec Shared\ccApp.exe
C:\Programmi\File comuni\Real\Update_OB\realsched.exe
C:\Programmi\QuickTime\qttask.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programmi\Messenger\msmsgs.exe
C:\Programmi\Symantec\LiveUpdate\ALUSchedulerSvc.exe
C:\Programmi\Prevx1\PXConsole.exe
C:\Programmi\Prevx1\PXAgent.exe
C:\WINDOWS\system32\NOTEPAD.EXE
E:\startuplist\StartupList.exe
--------------------------------------------------
Listing of startup folders:
Shell folders Common Startup:
[C:\Documents and Settings\All Users\Menu Avvio\Programmi\Esecuzione
automatica]
Avvio veloce di Adobe Reader.lnk = C:\Programmi\Adobe\Acrobat
7.0\Reader\reader_sl.exe
--------------------------------------------------
Checking Windows NT UserInit:
[HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon]
UserInit = C:\WINDOWS\system32\userinit.exe,
--------------------------------------------------
Autorun entries from Registry:
HKLM\Software\Microsoft\Windows\CurrentVersion\Run
Zone Labs Client = "C:\Programmi\Zone Labs\ZoneAlarm\zlclient.exe"
ccApp = "C:\Programmi\File comuni\Symantec Shared\ccApp.exe"
osCheck = "C:\Programmi\Norton AntiVirus\osCheck.exe"
TkBellExe = "C:\Programmi\File comuni\Real\Update_OB\realsched.exe"  -osboot
QuickTime Task = "C:\Programmi\QuickTime\qttask.exe" -atboottime
PrevxOne = "C:\Programmi\Prevx1\PXConsole.exe"
--------------------------------------------------
Autorun entries from Registry:
HKCU\Software\Microsoft\Windows\CurrentVersion\Run
CTFMON.EXE = C:\WINDOWS\system32\ctfmon.exe
MSMSGS = "C:\Programmi\Messenger\msmsgs.exe" /background
--------------------------------------------------
Shell & screensaver key from C:\WINDOWS\SYSTEM.INI:
Shell=*INI section not found*
SCRNSAVE.EXE=*INI section not found*
drivers=*INI section not found*
Shell & screensaver key from Registry:
Shell=Explorer.exe
SCRNSAVE.EXE=C:\WINDOWS\System32\logon.scr
drivers=*Registry value not found*
Policies Shell key:
HKCU\..\Policies: Shell=*Registry key not found*
HKLM\..\Policies: Shell=*Registry value not found*
--------------------------------------------------
Enumerating Browser Helper Objects:
(no name) - C:\Programmi\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll -
{06849E9F-C8D7-4D59-B87D-784B7D6BE0B3}
(no name) - C:\Programmi\Spybot - Search & Destroy\SDHelper.dll -
{53707962-6F74-2D53-2644-206D7942484F}
Malicious Scripts Scanner - C:\Documents and Settings\All Users\Dati
applicazioni\Prevx\pxbho.dll - {55EA1964-F5E4-4D6A-B9B2-125B37655FCB}
NetXfer - C:\Programmi\Xi\NetXfer\NXIEHelper.dll -
{83B80A9C-D91A-4F22-8DCF-EA7204039F79}
--------------------------------------------------
Enumerating Task Scheduler jobs:
AppleSoftwareUpdate.job
Norton AntiVirus - Scansione completa sistema - izio.job
--------------------------------------------------
Enumerating Download Program Files:
[WUWebControl Class]
InProcServer32 = C:\WINDOWS\System32\wuweb.dll
CODEBASE =
http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1168264390677
--------------------------------------------------
Enumerating Windows NT logon/logoff scripts:
*No scripts set to run*
Windows NT checkdisk command:
BootExecute = autocheck autochk *
Windows NT 'Wininit.ini':
PendingFileRenameOperations:
C:\DOCUME~1\ALLUSE~1\DATIAP~1\Symantec\SyKnAppS\508d9d9c-966d-4695-9a52-8b0cd814c8a1_cohcol.wlt|||\
--------------------------------------------------
Enumerating ShellServiceObjectDelayLoad items:
PostBootReminder: C:\WINDOWS\system32\SHELL32.dll
CDBurn: C:\WINDOWS\system32\SHELL32.dll
WebCheck: C:\WINDOWS\system32\webcheck.dll
SysTray: C:\WINDOWS\System32\stobject.dll
--------------------------------------------------
End of report, 5.280 bytes
Report generated in 0,071 seconds
Command line options:
   /verbose  - to add additional info on each section
   /complete - to include empty sections and unsuspicious data
   /full     - to include several rarely-important sections
   /force9x  - to include Win9x-only startups even if running on WinNT
   /forcent  - to include WinNT-only startups even if running on Win9x
   /forceall - to include all Win9x and WinNT startups, regardless of
platform
   /history  - to list version history only

 ha scritto nel messaggio 
news:45a540ed$0$19103$4faf...@reader4.news.tin.it...


La formattazione pulisce il sistema da qualsiasi insidia per tanto adesso 
stai tranquillo.
Non sono in grado di leggere i tuoi log ed indicarti se vi sono anomalie,
 ma posso consigliarti di cambiare antivirus l'avast è decisamente meglio 
del norton. 

stai tranquillo.
Qui è finita una rotella di mouse...
-- 
Ci sono 10 tipi di persone al mondo: quelle che capiscono il sistema binario
e quelle che non lo capiscono.