Newsgroup: it.comp.sicurezza.windows
Titolo: file hidden2

avevo chiesto informazioni circa un file hidden e come risolvere ma si è 
scatenato un flamme che non mi ha aiutato.
chiedo cortesemente se avete indicazioni per eliminare definitivamente 
questo file hidden che cambia sempre nome anche se lo elimino con avg free
s.o. vista32
grazie 

 s.o. vista32
Formattazione e reinstallazione del sistema operativo, o se sei stato
previdente molto più semplicemente ripristino di una immagine della
partizione contenente il sistema operativo fatta quando non c'erano
problemi. Questo è il metodo per avere una ragionevole certezza di una
semplice eliminaione. 
Poi per fare in modo che l'liminazione sia definitiva ci devi mettere del
tuo, cioè non ricaricarlo.
-- 
Ciao, Guglielmo.

gemdem ha scritto:

Hai provato ad usare la funzione di cancellazione al prossimo reboot di 
Hijacjkthis? Il mese scorso ho eliminato così un file di un rootkit (per 
fortuna non troppo nocivo)
-- 
Come and see the greatness of our army, we are the fighting Uruk-Hai

 ha scritto nel messaggio 
news:480491f5$0$40209$4faf...@reader5.news.tin.it...

Se ne hai la possibilità, collega l'hard disk come secondario su un altro
pc e passaci 1 o più (per sicurezza) prodotti av, antirootkit ecc.
In questo modo dovresti poter eliminare anche il malware più ostico,
inoltre preservi i tuoi dati e non devi formattare/reinstallare l'os.
Z 

 s.o. vista32
Tu hai detto che AVG Free ti ha trovato questo file nascosto che cambia
nome, ma il sistema funziona correttamente oppure è instabile?
Perché se tutto funziona e l'Anti-Virus aggiornato non rileva alcun malware
nel sistema, può darsi che quel file "nascosto" sia associato ad
un'applicazione lecita da te installata, la quale ogni volta che viene
caricata in memoria genera quel file.
Non è detto che sia per forza un virus.
Per esempio, anch'io ho nel sistema un programma di video-editing che genera
delle chiavi di registro "nascoste", ma ciò non vuol dire che siano tracce
di malware ed il mio sistema funziona alla perfezione.
Ciò non toglie che potrebbe trattarsi di un malware inserito come flusso di
dati alternativo in un file del tutto lecito, che non viene rilevato
dall'Anti-Virus come malware.
Pertanto ti consiglio di fare una scansione degli ADS (Alternate Data
Streams) presenti nel tuo sistema con:
ADSSpy
http://www.bleepingcomputer.com/files/adsspy.php
ADS Revealer
http://www.nod32.it/getfile.php?tool=adsr
Fai anche una scansione Anti-Rootkit con:
Sophos Anti-Rootkit
http://www.sophos.it/products/free-tools/sophos-anti-rootkit.html
McAfee Rootkit Detective
http://vil.nai.com/vil/stinger/rkstinger.aspx
Inoltre effettua una scansione con Hijackthis, per controllare
che non vi siano processi nocivi attivi nel sistema, come spiegato qui:
http://privacyonline.altervista.org/hijackthis.html
Se puoi posta qui il log di Hijackthis, così possiamo aiutarti ad
individuare eventuali malware presenti nel sistema.
-- 
Guida gratuita sulla sicurezza e la privacy on-line:
http://privacyonline.altervista.org
 

Logfile of HijackThis v1.99.1
Scan saved at 17.14.31, on 15/04/2008
Platform: Unknown Windows (WinNT 6.00.1905 SP1)
MSIE: Internet Explorer v7.00 (7.00.6001.18000)
Running processes:
C:\Windows\system32\Dwm.exe
C:\Windows\Explorer.EXE
C:\Windows\system32\taskeng.exe
C:\Program Files\Windows Defender\MSASCui.exe
C:\Windows\RtHDVCpl.exe
C:\Program Files\Trust\3021B WIRELESS OPTICAL DESKSET\Keyboard\KBDAP32A.EXE
C:\Program Files\Trust\3021B WIRELESS OPTICAL DESKSET\Mouse\mouse32a.exe
C:\Program Files\Alwil Software\Avast4\ashDisp.exe
C:\Program Files\HP\HP Software Update\hpwuSchd2.exe
C:\Program Files\iTunes\iTunesHelper.exe
C:\Program Files\Norton Ghost\Agent\VProTray.exe
C:\Windows\System32\rundll32.exe
C:\Program Files\Java\jre1.6.0_05\bin\jusched.exe
C:\Program Files\Skype\Phone\Skype.exe
C:\Program Files\Common Files\Nero\Lib\NMBgMonitor.exe
C:\Program Files\DAEMON Tools Lite\daemon.exe
C:\Program Files\Windows Sidebar\sidebar.exe
C:\Windows\System32\rundll32.exe
C:\Program Files\DNA\btdna.exe
C:\Program Files\HP\Digital Imaging\bin\hpqtra08.exe
C:\Program Files\Windows Sidebar\sidebar.exe
C:\Program Files\Common Files\Nero\Lib\NMIndexStoreSvr.exe
C:\Program Files\Skype\Plugin Manager\skypePM.exe
C:\Program Files\HP\Digital Imaging\bin\hpqSTE08.exe
C:\Program Files\eMule\emule.exe
C:\Program Files\Windows Mail\WinMail.exe
C:\download\hijackthis_199\HijackThis.exe
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = 
http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = 
http://www.google.it/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = 
http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = 
http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = 
http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = 
http://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet 
Settings,ProxyOverride = *.local
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =
O1 - Hosts: ::1 localhost
O2 - BHO: Adobe PDF Reader Link Helper - 
{06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Common 
Files\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: Skype add-on (mastermind) - 
{22BF413B-C6D2-4d91-82A9-A0F997BA588C} - C:\Program 
Files\Skype\Toolbars\Internet Explorer\SkypeIEPlugin.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - 
C:\Program Files\Java\jre1.6.0_05\bin\ssv.dll
O4 - HKLM\..\Run: [Windows Defender] %ProgramFiles%\Windows 
Defender\MSASCui.exe -hide
O4 - HKLM\..\Run: [RtHDVCpl] RtHDVCpl.exe
O4 - HKLM\..\Run: [Skytel] Skytel.exe
O4 - HKLM\..\Run: [AsusStartupHelp] C:\Program 
Files\ASUS\AASP\1.00.17\AsRunHelp.exe
O4 - HKLM\..\Run: [OFFICEKB] C:\Program Files\Trust\3021B WIRELESS OPTICAL 
DESKSET\Keyboard\kbdap32a.EXE
O4 - HKLM\..\Run: [FLMOFFICE4DMOUSE] C:\Program Files\Trust\3021B WIRELESS 
OPTICAL DESKSET\Mouse\mouse32a.exe
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [HP Software Update] C:\Program Files\HP\HP Software 
Update\HPWuSchd2.exe
O4 - HKLM\..\Run: [NBKeyScan] "C:\Program Files\Nero\Nero8\Nero 
BackItUp\NBKeyScan.exe"
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program 
Files\QuickTime\QTTask.exe" -atboottime
O4 - HKLM\..\Run: [iTunesHelper] "C:\Program Files\iTunes\iTunesHelper.exe"
O4 - HKLM\..\Run: [Norton Ghost 12.0] "C:\Program Files\Norton 
Ghost\Agent\VProTray.exe"
O4 - HKLM\..\Run: [NeroFilterCheck] C:\Program Files\Common 
Files\Nero\Lib\NeroCheck.exe
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program 
Files\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [NvSvc] RUNDLL32.EXE 
C:\Windows\system32\nvsvc.dll,nvsvcStart
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE 
C:\Windows\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE 
C:\Windows\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [CloneCDTray] "C:\Program 
Files\SlySoft\CloneCD\CloneCDTray.exe" /s
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program 
Files\Java\jre1.6.0_05\bin\jusched.exe"
O4 - HKCU\..\Run: [Skype] "C:\Program Files\Skype\Phone\Skype.exe" /nosplash 
/minimized
O4 - HKCU\..\Run: [BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] 
"C:\Program Files\Common Files\Nero\Lib\NMBgMonitor.exe"
O4 - HKCU\..\Run: [DAEMON Tools Lite] "C:\Program Files\DAEMON Tools 
Lite\daemon.exe" -autorun
O4 - HKCU\..\Run: [LaunchList] C:\Program Files\Pinnacle\Studio 
11\LaunchList2.exe
O4 - HKCU\..\Run: [Sidebar] C:\Program Files\windows sidebar\sidebar.exe 
/autoRun
O4 - HKCU\..\Run: [BitTorrent DNA] "C:\Program Files\DNA\btdna.exe"
O4 - Global Startup: HP Digital Imaging Monitor.lnk = C:\Program 
Files\HP\Digital Imaging\bin\hpqtra08.exe
O8 - Extra context menu item: E&sporta in Microsoft Excel - 
res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - 
C:\Program Files\Java\jre1.6.0_05\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - 
{08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program 
Files\Java\jre1.6.0_05\bin\ssv.dll
O9 - Extra button: Skype - {77BF5300-1474-4EC7-9980-D32B190E9B07} - 
C:\Program Files\Skype\Toolbars\Internet Explorer\SkypeIEPlugin.dll
O9 - Extra button: Ricerche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - 
C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: ShopperReports - Compare product prices - 
{C5428486-50A0-4a02-9D20-520B59A9F9B2} - C:\Program 
Files\ShoppingReport\Bin\2.5.0\ShoppingReport.dll (file missing)
O9 - Extra button: ShopperReports - Compare travel rates - 
{C5428486-50A0-4a02-9D20-520B59A9F9B3} - C:\Program 
Files\ShoppingReport\Bin\2.5.0\ShoppingReport.dll (file missing)
O10 - Unknown file in Winsock LSP: c:\windows\system32\nlaapi.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\napinsp.dll
O11 - Options group: [INTERNATIONAL] International*
O13 - Gopher Prefix:
O16 - DPF: {67A5F8DC-1A4B-4D66-9F24-A704AD929EEE} (System Requirements 
Lab) - 
http://www.nvidia.com/content/DriverDownload/srl/2.0.0.1/sysreqlab2.cab
O16 - DPF: {74DBCB52-F298-4110-951D-AD2FF67BC8AB} (NVIDIA Smart Scan) - 
http://www.nvidia.com/content/DriverDownload/nforce/NvidiaSmartScan.cab
O16 - DPF: {8AD9C840-044E-11D1-B3E9-00805F499D93} (Java Runtime Environment 
1.6.0) - 
http://sdlc-esd.sun.com/ESD40/JSCDL/jre/6u5-b19/jinstall-6u5-windows-i586-jc.cab?AuthParam=1208005614_2b4b3241da7cbcdffe26a69c4c749395&GroupName=JSC&BHost=javadl.sun.com&FilePath=/ESD40/JSCDL/jre/6u5-b19/jinstall-6u5-windows-i586-jc.cab&File=jinstall-6u5-windows-i586-jc.cab
O16 - DPF: {FFBB3F3B-0A5A-4106-BE53-DFE1E2340CB1} (DownloadManager 
Control) - 
http://dlm.tools.akamai.com/dlmanager/versions/activex/dlm-activex-2.2.1.6.cab
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - 
C:\PROGRA~1\COMMON~1\Skype\SKYPE4~1.DLL
O23 - Service: a-squared Free Service (a2free) - Emsi Software GmbH - 
C:\Program Files\a-squared Free\a2service.exe
O23 - Service: Apple Mobile Device - Apple, Inc. - C:\Program Files\Common 
Files\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - 
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Alwil 
Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - Unknown owner - C:\Program Files\Alwil 
Software\Avast4\ashMaiSv.exe" /service (file missing)
O23 - Service: avast! Web Scanner - Unknown owner - C:\Program Files\Alwil 
Software\Avast4\ashWebSv.exe" /service (file missing)
O23 - Service: @%SystemRoot%\ehome\ehstart.dll,-101 (ehstart) - Unknown 
owner - %windir%\system32\svchost.exe (file missing)
O23 - Service: Firebird Server - MAGIX Instance 
(FirebirdServerMAGIXInstance) - Unknown owner - C:\Program 
Files\MAGIX\Common\Database\bin\fbserver.exe (file missing)
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision 
Corporation - C:\Program Files\Common Files\InstallShield\Driver\1150\Intel 
32\IDriverT.exe
O23 - Service: Servizio iPod (iPod Service) - Apple Inc. - C:\Program 
Files\iPod\bin\iPodService.exe
O23 - Service: Nero BackItUp Scheduler 3 - Nero AG - C:\Program 
Files\Nero\Nero8\Nero BackItUp\NBService.exe
O23 - Service: NMIndexingService - Nero AG - C:\Program Files\Common 
Files\Nero\Lib\NMIndexingService.exe
O23 - Service: Norton Ghost - Symantec Corporation - C:\Program Files\Norton 
Ghost\Agent\VProSvc.exe
O23 - Service: PCLEPCI - Pinnacle Systems GmbH - 
C:\Windows\system32\drivers\pclepci.sys
O23 - Service: @%SystemRoot%\system32\qwave.dll,-1 (QWAVE) - Unknown owner - 
%windir%\system32\svchost.exe (file missing)
O23 - Service: @%SystemRoot%\system32\seclogon.dll,-7001 (seclogon) - 
Unknown owner - %windir%\system32\svchost.exe (file missing)
O23 - Service: @%ProgramFiles%\Windows Media Player\wmpnetwk.exe,-101 
(WMPNetworkSvc) - Unknown owner - %ProgramFiles%\Windows Media 
Player\wmpnetwk.exe (file missing)

 ecco il log,che mi dici?
Per caso hai installato il Service Pack 1 in inglese su Windows Vista
italiano oppure il sistema è "liscio" senza alcun Service Pack?
Oltre al file "nascosto" hai riscontrato qualche problema o instabilità di
sistema?
Il fatto strano è che Hijackthis rileva il file "svchost.exe" come mancante.
Vai su Start -> Cerca e fai una ricerca del file "svchost.exe", vedi se lo
trova ed in quale directory risiede.
Fatto questo, utilizza il System File Checker.
Inserisci il CD originale di Windows Vista nel lettore, clicca su Start ->
Tutti i programmi -> Accessori -> Esegui e scrivi il comando "sfc /scannow"
(senza virgolette) e dai OK.
Il sistema effettuerà  un controllo di tutti i files importanti di Windows e
provvederà  alla sostituzione di quelli corrotti o mancanti, con gli
originali del CD.


 mancante.
Mi correggo: il file che Hijackthis rileva come mancante non è "svchost.exe"
ma la DLL ad esso associata.



ho vista home premium 32 con sp1 ita,forse r.c. 

 ho vista home premium 32 con sp1 ita,forse r.c.
Come pensavo, il Service Pack Release Candidate, per quanto sia simile alla
versione finale, potrebbe non essere stabile al 100%.
Ti consiglio di disinstallare il Service Pack R.C. ed installare la versione
completa e definitiva in italiano, scaricabile da qui:
http://tinyurl.com/6rop2c


gemdem ha scritto:

ciao è capitato anche a me è dovuto a daemon tools la soluzionè è qui:
http://www.greatis.com/security/What%20is%20SPTD%23%23%23%23.sys.htm