Newsgroup: it.comp.sicurezza.windows
Titolo: [WIN XP] processo sconosciuto: msupd4.exe - sospetto malware

Salve ragazzi, innanzitutto Buon Anno a tutti, salute e prosperità \\//_
Utilizzo Win Xp Pro in un Pentium IV a 2.0 Ghz con 512 Mb di Ram, Avast
Antivirus 4.5, Sygate Personal FW 5.5, Ad Aware 1.5 (nuova versione).
SpyBot S&D 1.3, Win Patrol 7.0 e GoGodata AdBuster in esecuzione
automatica. Nonostante tutto questo ben di Dio attivo non so in che
pasticcio mi sono andato a cacciare. Ammetto di aver navigato in acque poco
sicure e di aver scaricato un bel po' di crack da internet, oltre ad un
tema del desktop di WinXP che non so quanta roba mi abbia installato nel
sistema. Adesso mi ritrovo questo processo attivo in background
msupd4.exe
che risulta sconosciuto da tutti i siti di malware/adware che ho visitato.
Il processo non sembra attivo e non associato ad attività in ascolto nelle
porte (controllato con TCP View) e viene identificato dal Task Manager col
processo 1720; facendo una ricerca con RegSeeker viene fuori questo
HKEY_LOCAL_MACHINE
SYSTEM\CurrentControlSet1Services\MsUpdate4 
ImagePath		C:\Windows\System32\msupd4.exe
HKEY_LOCAL_MACHINE
SYSTEM\ControlSet002\Sercives\MsUpdate4
ImagePath		C:\Windows\System32\msupd4.exe
Ho già fatto una ricerca su Google ma non ho trovato molti riferimenti,
anche il sito di Microsoft e su 
http://computercops.biz/StartupList.html
hanno dato esito negativo. Prima di eliminare chiavi dal registro vorrei
avere un parere. Voi che ne dite?
Un caro saluto a tutti.
-- 
Giovanni Aragonesi 
aka Natanaele < email ~
anac...@email.it
~ >
"Cos'è il mio nulla, dinanzi allo stupore che vi attende?" (Rimbaud)

 che risulta sconosciuto da tutti i siti di malware/adware che ho visitato.
[...]
E' sconosciuto come centinaia di altri eseguibili generati random da
spy/malware/hijackers.
Segui le indicazioni dell'articolo a questo link:
http://snipurl.com/MS_Technet_Spy
Pulisci per bene, a manina, la macchina da ogni applicazione che riconosci
di non avere installato, elimina tutti i file temporanei internet, svuota la
cartella Temp nella directory di Windows, disabilita Ripristino
Configurazione di sistema, attiva la visualizzazione di file e cartelle
nascosti, riavvia il computer in modalità provvisoria e lancia Hijackthis,
poi posta qui il file di .log.
--
Vincenzo Di Russo
Microsoft® MVP - Windows - Internet Explorer/OE
http://support.microsoft.com/newsgroups
http://mvp.support.microsoft.com/

 poi posta qui il file di .log.
Purtroppo il mio PC ha una stranezza: mi freeza se cerco di accedere in
"Modalità provvisoria", premendo F8 all'avvio del computer, pur essendo
amministratore unico del sistema. Ho creato un altro utente (io stesso) al
momento dell'installazione di WinXP, a cui non accedo mai perché non ho
bisogno di loggarmi. 
Cmq ecco qui il mio log di HijackThis.
Grazie e ciao
<cit>
Logfile of Logfile of HijackThis v1.97.7
Scan saved at 18:30:18, on 01/01/2005
Platform: Windows XP  (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)
Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programmi\TGTSoft\StyleXP\StyleXPService.exe
D:\Programmi\Sygate\SPF\smc.exe
C:\WINDOWS\system32\spoolsv.exe
D:\Programmi\Alwil Software\Avast4\aswUpdSv.exe
D:\Programmi\Alwil Software\Avast4\ashServ.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
D:\Programmi\Executive Software\DiskeeperLite\DKService.exe
C:\Programmi\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\WINDOWS\System32\taskswitch.exe
D:\Programmi\Alwil Software\Avast4\ashDisp.exe
C:\Programmi\Java\j2re1.4.2_04\bin\jusched.exe
C:\Programmi\Ahead\InCD\InCD.exe
D:\DOWNLOADS\Rage3DTweak\Rage3DTweak\RegTwk.exe
D:\PROGRA~1\BillP Studios\WinPatrol\WinPatrol.exe
C:\WINDOWS\System32\CTHELPER.EXE
C:\Programmi\Winamp\winampa.exe
D:\PROGRAMMI\Password Keychain\Passkeychain.exe
D:\PROGRAMMI\Magitime\magitime.exe
C:\Programmi\NetLimiter\NetLimiter.exe
C:\WINDOWS\System32\ctfmon.exe
D:\Programmi\MemoRex\MemoRex.exe
D:\Programmi\GoGoData.com\GoGoData AdBuster\GoGoTray.exe
C:\Programmi\TGTSoft\StyleXP\StyleXP.exe
D:\PROGRAMMI\NetMeter\NetMeter.exe
D:\PROGRAMMI\ATnotes\ATnotes.exe
D:\PROGRAMMI\Cobian Backup 5\CobBU.exe
D:\PROGRAMMI\HAMSTER 2.0 ITA\Hamster.exe
D:\PROGRA~1\GoGoData.com\GoGoData AdBuster\AdBusterServer.exe
D:\PROGRAMMI\Cobian Backup 5\cobui.exe
D:\Programmi\Alwil Software\Avast4\ashMaiSv.exe
D:\PROGRAMMI\HijackThis\HijackThis.exe
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page =
http://www.google.it/
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = 
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = 
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =
Collegamenti
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} -
C:\Programmi\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {3EB9C349-7473-48AC-A59B-42F31751974B} -
D:\PROGRA~1\GoGoData.com\GoGoData AdBuster\TomahawkBar.dll
O2 - BHO: (no name) - {442F163E-02DD-FAD7-963E-2404FBB0D226} - (no file)
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} -
D:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: (no name) - {A5366673-E8CA-11D3-9CD9-0090271D075B} -
D:\PROGRA~1\FlashGet\jccatch.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} -
C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: FlashGet Bar - {E0E899AB-F487-11D5-8D29-0050BA6940E3} -
D:\PROGRA~1\FlashGet\fgiebar.dll
O3 - Toolbar: GoGoData AdBuster  - {3EB9C349-7473-48AC-A59B-42F31751974B} -
D:\PROGRA~1\GoGoData.com\GoGoData AdBuster\TomahawkBar.dll
O4 - HKLM\..\Run: [ATIPTA] C:\Programmi\ATI Technologies\ATI Control
Panel\atiptaxx.exe
O4 - HKLM\..\Run: [BackgroundSwitcher] C:\WINDOWS\System32\bgswitch.exe
O4 - HKLM\..\Run: [CoolSwitch] C:\WINDOWS\System32\taskswitch.exe
O4 - HKLM\..\Run: [FastUser] C:\WINDOWS\System32\fast.exe
O4 - HKLM\..\Run: [avast!] D:\Programmi\Alwil Software\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched]
C:\Programmi\Java\j2re1.4.2_04\bin\jusched.exe
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [InCD] C:\Programmi\Ahead\InCD\InCD.exe
O4 - HKLM\..\Run: [RegTweak]
D:\DOWNLOADS\Rage3DTweak\Rage3DTweak\RegTwk.exe
O4 - HKLM\..\Run: [WinPatrol] D:\PROGRA~1\BillP
Studios\WinPatrol\WinPatrol.exe
O4 - HKLM\..\Run: [WINDVDPatch] CTHELPER.EXE
O4 - HKLM\..\Run: [UpdReg] C:\WINDOWS\UpdReg.EXE
O4 - HKLM\..\Run: [Jet Detection]
C:\Programmi\Creative\SBLive\PROGRAM\ADGJDet.exe
O4 - HKLM\..\Run: [WinampAgent] C:\Programmi\Winamp\winampa.exe
O4 - HKLM\..\Run: [MemoREX] "D:\Programmi\MemoRex\MemoRexStart.exe"
O4 - HKLM\..\Run: [Password Keychain] D:\PROGRAMMI\Password
Keychain\Passkeychain.exe /H
O4 - HKLM\..\Run: [Magitime] d:\PROGRAMMI\Magitime\magitime.exe
O4 - HKLM\..\Run: [NetLimiter] C:\Programmi\NetLimiter\NetLimiter.exe /s
O4 - HKLM\..\Run: [SmcService] D:\PROGRA~1\Sygate\SPF\smc.exe -startgui
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [GoGoTray.exe] D:\Programmi\GoGoData.com\GoGoData
AdBuster\GoGoTray.exe
O4 - HKCU\..\Run: [STYLEXP] C:\Programmi\TGTSoft\StyleXP\StyleXP.exe -Hide
O4 - HKCU\..\Run: [D:\PROGRAMMI\NetMeter\NetMeter.exe]
D:\PROGRAMMI\NetMeter\NetMeter.exe
O4 - Startup: ATnotes.lnk = ?
O4 - Startup: COBIAN backup.lnk = ?
O4 - Startup: HAMSTER.lnk = ?
O8 - Extra context menu item: Scarica con FlashGet -
D:\PROGRAMMI\FlashGet\jc_link.htm
O8 - Extra context menu item: Scarica tutto con FlashGet -
D:\PROGRAMMI\FlashGet\jc_all.htm
O9 - Extra 'Tools' menuitem: Sun Java Console (HKLM)
O9 - Extra 'Tools' menuitem: GoGoData AdBuster  (HKLM)
O9 - Extra button: Organizzatore ricerche (HKLM)
O9 - Extra button: FlashGet (HKLM)
O9 - Extra 'Tools' menuitem: &FlashGet (HKLM)
O9 - Extra button: Yahoo! Messenger (HKLM)
O9 - Extra 'Tools' menuitem: Yahoo! Messenger (HKLM)
O16 - DPF: {4C39376E-FA9D-4349-BACC-D305C1750EF3} (EPUImageControl Class) -
http://tools.ebayimg.com/eps/wl/activex/EPUWALControl_v1-0-3-12.cab
O16 - DPF: {556DDE35-E955-11D0-A707-000000521957} -
http://www.xblock.com/download/xclean_micro.exe
O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF}
(MsnMessengerSetupDownloadControl Class) -
http://messenger.msn.com/download/msnmessengersetupdownloader.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object)
- 
http://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab
 v1.97.7
Scan saved at 18:30:18, on 01/01/2005
Platform: Windows XP  (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)
Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programmi\TGTSoft\StyleXP\StyleXPService.exe
D:\Programmi\Sygate\SPF\smc.exe
C:\WINDOWS\system32\spoolsv.exe
D:\Programmi\Alwil Software\Avast4\aswUpdSv.exe
D:\Programmi\Alwil Software\Avast4\ashServ.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
D:\Programmi\Executive Software\DiskeeperLite\DKService.exe
C:\Programmi\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\WINDOWS\System32\taskswitch.exe
D:\Programmi\Alwil Software\Avast4\ashDisp.exe
C:\Programmi\Java\j2re1.4.2_04\bin\jusched.exe
C:\Programmi\Ahead\InCD\InCD.exe
D:\DOWNLOADS\Rage3DTweak\Rage3DTweak\RegTwk.exe
D:\PROGRA~1\BillP Studios\WinPatrol\WinPatrol.exe
C:\WINDOWS\System32\CTHELPER.EXE
C:\Programmi\Winamp\winampa.exe
D:\PROGRAMMI\Password Keychain\Passkeychain.exe
D:\PROGRAMMI\Magitime\magitime.exe
C:\Programmi\NetLimiter\NetLimiter.exe
C:\WINDOWS\System32\ctfmon.exe
D:\Programmi\MemoRex\MemoRex.exe
D:\Programmi\GoGoData.com\GoGoData AdBuster\GoGoTray.exe
C:\Programmi\TGTSoft\StyleXP\StyleXP.exe
D:\PROGRAMMI\NetMeter\NetMeter.exe
D:\PROGRAMMI\ATnotes\ATnotes.exe
D:\PROGRAMMI\Cobian Backup 5\CobBU.exe
D:\PROGRAMMI\HAMSTER 2.0 ITA\Hamster.exe
D:\PROGRA~1\GoGoData.com\GoGoData AdBuster\AdBusterServer.exe
D:\PROGRAMMI\Cobian Backup 5\cobui.exe
D:\Programmi\Alwil Software\Avast4\ashMaiSv.exe
D:\PROGRAMMI\HijackThis\HijackThis.exe
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page =
http://www.google.it/
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = 
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = 
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =
Collegamenti
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} -
C:\Programmi\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {3EB9C349-7473-48AC-A59B-42F31751974B} -
D:\PROGRA~1\GoGoData.com\GoGoData AdBuster\TomahawkBar.dll
O2 - BHO: (no name) - {442F163E-02DD-FAD7-963E-2404FBB0D226} - (no file)
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} -
D:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: (no name) - {A5366673-E8CA-11D3-9CD9-0090271D075B} -
D:\PROGRA~1\FlashGet\jccatch.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} -
C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: FlashGet Bar - {E0E899AB-F487-11D5-8D29-0050BA6940E3} -
D:\PROGRA~1\FlashGet\fgiebar.dll
O3 - Toolbar: GoGoData AdBuster  - {3EB9C349-7473-48AC-A59B-42F31751974B} -
D:\PROGRA~1\GoGoData.com\GoGoData AdBuster\TomahawkBar.dll
O4 - HKLM\..\Run: [ATIPTA] C:\Programmi\ATI Technologies\ATI Control
Panel\atiptaxx.exe
O4 - HKLM\..\Run: [BackgroundSwitcher] C:\WINDOWS\System32\bgswitch.exe
O4 - HKLM\..\Run: [CoolSwitch] C:\WINDOWS\System32\taskswitch.exe
O4 - HKLM\..\Run: [FastUser] C:\WINDOWS\System32\fast.exe
O4 - HKLM\..\Run: [avast!] D:\Programmi\Alwil Software\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched]
C:\Programmi\Java\j2re1.4.2_04\bin\jusched.exe
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [InCD] C:\Programmi\Ahead\InCD\InCD.exe
O4 - HKLM\..\Run: [RegTweak]
D:\DOWNLOADS\Rage3DTweak\Rage3DTweak\RegTwk.exe
O4 - HKLM\..\Run: [WinPatrol] D:\PROGRA~1\BillP
Studios\WinPatrol\WinPatrol.exe
O4 - HKLM\..\Run: [WINDVDPatch] CTHELPER.EXE
O4 - HKLM\..\Run: [UpdReg] C:\WINDOWS\UpdReg.EXE
O4 - HKLM\..\Run: [Jet Detection]
C:\Programmi\Creative\SBLive\PROGRAM\ADGJDet.exe
O4 - HKLM\..\Run: [WinampAgent] C:\Programmi\Winamp\winampa.exe
O4 - HKLM\..\Run: [MemoREX] "D:\Programmi\MemoRex\MemoRexStart.exe"
O4 - HKLM\..\Run: [Password Keychain] D:\PROGRAMMI\Password
Keychain\Passkeychain.exe /H
O4 - HKLM\..\Run: [Magitime] d:\PROGRAMMI\Magitime\magitime.exe
O4 - HKLM\..\Run: [NetLimiter] C:\Programmi\NetLimiter\NetLimiter.exe /s
O4 - HKLM\..\Run: [SmcService] D:\PROGRA~1\Sygate\SPF\smc.exe -startgui
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [GoGoTray.exe] D:\Programmi\GoGoData.com\GoGoData
AdBuster\GoGoTray.exe
O4 - HKCU\..\Run: [STYLEXP] C:\Programmi\TGTSoft\StyleXP\StyleXP.exe -Hide
O4 - HKCU\..\Run: [D:\PROGRAMMI\NetMeter\NetMeter.exe]
D:\PROGRAMMI\NetMeter\NetMeter.exe
O4 - Startup: ATnotes.lnk = ?
O4 - Startup: COBIAN backup.lnk = ?
O4 - Startup: HAMSTER.lnk = ?
O8 - Extra context menu item: Scarica con FlashGet -
D:\PROGRAMMI\FlashGet\jc_link.htm
O8 - Extra context menu item: Scarica tutto con FlashGet -
D:\PROGRAMMI\FlashGet\jc_all.htm
O9 - Extra 'Tools' menuitem: Sun Java Console (HKLM)
O9 - Extra 'Tools' menuitem: GoGoData AdBuster  (HKLM)
O9 - Extra button: Organizzatore ricerche (HKLM)
O9 - Extra button: FlashGet (HKLM)
O9 - Extra 'Tools' menuitem: &FlashGet (HKLM)
O9 - Extra button: Yahoo! Messenger (HKLM)
O9 - Extra 'Tools' menuitem: Yahoo! Messenger (HKLM)
O16 - DPF: {4C39376E-FA9D-4349-BACC-D305C1750EF3} (EPUImageControl Class) -
http://tools.ebayimg.com/eps/wl/activex/EPUWALControl_v1-0-3-12.cab
O16 - DPF: {556DDE35-E955-11D0-A707-000000521957} -
http://www.xblock.com/download/xclean_micro.exe
O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF}
(MsnMessengerSetupDownloadControl Class) -
http://messenger.msn.com/download/msnmessengersetupdownloader.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object)
- 
http://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab
</cit>


 O2 - BHO: (no name) - {442F163E-02DD-FAD7-963E-2404FBB0D226} - (no file)
*Fix*
Comunque rinominerei msupd4.exe in msupd4.old in System32, esporterei le
chiavi HKEY_LOCAL_MACHINE SYSTEM\CurrentControlSet1Services\MsUpdate4 e
HKEY_LOCAL_MACHINE
SYSTEM\ControlSet002\Sercives\MsUpdate4 poi la eliminerei.


 SYSTEM\ControlSet002\Sercives\MsUpdate4 poi la eliminerei.
Veramente ho notato che msupdate4.exe era abilitato in services.msc, quindi
l'ho disabilitato. Poi sono andato nella cartella System32 e l'ho
rinominato come hai detto tu. Adesso sembra tornato tutto a posto.
A proposito, la "modalità provvisoria" continua a non funzionarmi (ma
questo è un problema piuttosto vecchio).
Ciao.


 questo è un problema piuttosto vecchio).
news:microsoft.public.it.windowsxp
news:it.comp.os.win.xp
