Newsgroup: it.comp.os.win.win2000
Titolo: EXPL32: cos'è?

Ho un amico con un problema molto strano:
All'avvio del sistema (Windows 2000 Prof. SP4 con tutte le ultime patch di
Aggiornamenti Automatici) gli si apre una finestra, più precisamente un
programma, ("expl32" c'è scritto in alto a sx) con all'interno una
sottofinestra (con su scritto "Status") dove compaiono una serie di scitte,
sembra il log di un dialer che prova a connettersi a qualcosa...
ecco un piccolo esempio
[CUT]
*** Connecting to 
14f3.servergame.com
 (6667)
-
*** Unable to resolve IRC server
-
*** Connecting retry 1 
14f3.servergame.com
 (6667)
[END]
Ok, la prima cosa che ho fatto ho cercato sui newgroup ed ho trovato un
riferimento ad un virus di qualche mese fa, ma la sua rimorione è
semplicissima, aggiornare il mio antivirus (NAV 2003) e fare una scansione
completa del sistema.
Nulla! Nessun virus trovato :-(
- Vabbe, vado su esecuzione automatica e non c'è nulla
- sul registro non c'è nessuna chiave che chiami "expl32" (nemmeno su RUN)
- cerco su tutto il pc un file "expl32*" nessuna traccia
- cerco su tutti i file chi contenga "*expl32*" nessuna traccia
- Scansione on-line su 
simantec.com
: nulla
- Scansione da modalità provvisoria: nulla (anche se da qui non parte!)
Da dove viene? Come si esegue? Come è entrato sul mio PC?
Ha una connessione ADSL quindi un dialers non può fregarlo!
N.B.: la finestra la riesco a chiudere tranquillamente cliccando sulla X in
alto a dx (nulla di ostile!).
-----------------------------
By Crisha

 [CUT]
expl32.exe è un trojan che permette che qualcuno prende controllo del PC.
Quindi è da eliminare anche se ha ADSL.
Puoi leggere qualcosa qui, ma secondo il report di Symantec, il file lo devi
trovare, e si avvia tramite una chiave nel registry proprio sotto la voce
"Run"...
http://www.symantec.com/avcenter/venc/data/backdoor.irc.ratsou.html
James

 
http://www.symantec.com/avcenter/venc/data/backdoor.irc.ratsou.html
Infatti, avevo letto di questo trojan Backdoor.IRC.Ratsou.
Il problema č che non lo trovo ne io ne l'antivirus
Forse lo devo cercare sotto un'altro nome? Ho provato con expl32.exe oppure
con expl32.* ma nessuna traccia sul pc e nel registro.
Cosa devo fare?

 Cosa devo fare?
Farei in questo modo:
Con la finestra del programma aperta, lanciare il task manager
(Ctrl-alt-canc poi selezionare Task Manager)
cerca il programma dall'elenco, e click DX con il mouse sulla riga del
programma, e selezionare "Vai a processo".
Cosě ti porta al processo che gestisce quella finestra.
Il nome del processo _dovrebbe_ essere il nome dell'eseguibile.
Se non trovi l'eseguibile, potrebbe essere che sia nascosto o di sistema.
Nel aiuto di explorer trovi come visualizzare i file nascosti e i file di
sistema.
James

 sistema.
Questo l'avevo già fatto!:-)
Grazie mille per l'aiuto

 trovava?
Ecco il trojan! Attenzione pero - la copia di lsass.exe nella cartella
c:\windows\system32 č un file di windows - Non lo cancellare!
Se lanci regedit dovresti trovare questa voce:
HKLM\Software\Microsoft\Windows\CurrentVersion\Run\lsass="%SYSTEM%\lsass.exe
"
(SYSTEM punta alla cartella c:\windows\system)
Quello in windows\System lo puoi cancellare / rinominare / spostare, e
rimuovi anche la chiave di registry.
NON rimuovere il file nella cartella windows\System32 e non cancellare voci
di regisrty che puntano il file in system32!
{ Potresti leggere qualcosa facendo una ricerca su expl32.exe AND
lsass.exe }
HTH,    James