Newsgroup: it.comp.aiuto
Titolo: nsmscrs.exe - spyware

Salve a tutti,
pochi giorni fa ha cominciato ad eseguirsi all'avvio
"C:\windows\system32\nsmscrs.exe" che faceva terminare Antivir (il quale
prima di spegnersi diceva di trovare un virus "QHost.AA" in
C:\windows\system32\drivers\etc\hosts) e non mi permetteva di aprire
msconfig e regedit.
Adesso (con dos) l'ho rinominato e tutto sembra essere tornato al suo posto.
Ho anche eliminato con spybot uno spyware chiamato LSA.
Nessun antispy ne' antivir pero' trova le occorrenze nel registro del file
sopracitato. Che faccio le cancello a mano? Vorrei ripulire in maniera
abbastanza sterile. Qualcuno sa cos'e'?
Sam
P.S.: ho provato a creare un file vuoto dal nome "nsmscrs.exe" ed ho notato
che viene bloccato (non posso + ne' cancellarlo ne' rinominarlo) al
successivo riavvio. L'ho dovuto eliminare da dos.

 maniera abbastanza sterile. Qualcuno sa cos'e'?
Io proverei a fare un giro con VirIt (installi, aggiorni, lo fai girare e 
lo disisntalli).
http://www.tgsoft.it/italy/index_ita.html
-- 
Andrea
- - - - - - - - - - - - - - - - - - - - - - - - - - - -
www.inzona.com/jap
 * 
www.amicideltibet.it
 

 lo disisntalli).
Inutile. Altri consigli?
Grazie ancora.
Sam
P.S.: Complimenti per il sito Romanelmondo. Davvero benfatto!

 P.S.: Complimenti per il sito Romanelmondo. Davvero benfatto!
Grazie :-)


 Oltre a Spybot quali altri antispy hai fatto girare?
Ho già usato (sia in modalità normale sia provvisoria, tutto aggironato):
- Antivir
- Adaware
- Spywareblaster
- Spy-bot
- VirIt
Non so piu' che usare...
Ho anche fatto una scalnsione online consigliata su romanelmondo.
In rete del file in oggetto non c'e' nemmeno l'ombra di un'informazione
(tranne in cinese su google web).
Grazie per i vostri consigli.
Sam

Allora,
ho eliminato il file con Sysclean.
Adesso come faccio a rimettere in sesto il registro e cancellare le
occorrenze?
Lo saprei fare anche a mano ma che ne so se il worm non ha creato anche
altri valori che non richiamano direttamente il file?
Grazie
Sam

 occorrenze?
Io proverei con RegSeeker (che ogni volta che cancelli qualcosa crea un 
backup).


 Io proverei con RegSeeker.
Fatto ma senza successo.
I valori sono ancora lě.
Che posso tentare piu'?
Grazie 1000. Sei davvero molto disponibile.
Sam

Ah,
ho provato anche con RegClean altrettanto inutilmente...
Aspetto fiducioso.
Sam

Ho appena finito di provare anche con il tool di pulizia del programma
ERUNT.
Niente da fare: i valori malefici (ma che ormai puntano a un file
inesistente) sono ancora la'.
E adesso?
Grazie ancora e scusatemi per i "messaggi multipli".
Sam

 Niente da fare
[...]
Sistema operativo Windows 98, presumo:
Start -> Esegui -> Sysedit -> Ok.
Cerca nei moduli di avvio quelle stringhe.
-- 
Vincenzo Di Russo
Microsoft® MVP - Most Valuable Professional
Windows - Internet Explorer since 2003
http://support.microsoft.com/newsgroups
http://mvp.support.microsoft.com/

 Cerca nei moduli di avvio quelle stringhe.
Fatto ma non c'e' ne e' traccia.
Cmq la voce di avvio io l'ho gia disabilitata usando Msconfig nella sezione
"avvio".
Ma ce ne sono ancora nel registro e precisamente:
HKEY_CURRENT_USER\Software\Microsoft\OLE  -  Microsoft CRSS Service  REG_SZ
nsmscrs.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Ole  -  Microsoft CRSS Service  REG_SZ
nsmscrs.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Shared
Tools\MSConfig\startupreg\Microsoft CSRSS Service  -  command  REG_SZ
nsmscrs.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Shared
Tools\MSConfig\startupreg\Microsoft CSRSS Service  -  item  REG_SZ  nsmscrs
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices-  -
Microsoft CRSS Service  REG_SZ  nsmscrs.exe
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Control\Lsa  -  Microsoft CRSS
Service  REG_SZ  nsmscrs.exe
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Control\Lsa  -  Microsoft CRSS
Service  REG_SZ  nsmscrs.exe
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa  -  Microsoft CRSS
Service  REG_SZ  nsmscrs.exe
HKEY_USERS\.DEFAULT\Software\Microsoft\OLE  -  Microsoft CRSS Service
REG_SZ  nsmscrs.exe
HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run  -
Microsoft CRSS Service  REG_SZ  nsmscrs.exe
HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\RunServices  -
Microsoft CRSS Service  REG_SZ  nsmscrs.exe
HKEY_USERS\S-1-5-18\Software\Microsoft\OLE  -  Microsoft CRSS Service
REG_SZ  nsmscrs.exe
HKEY_USERS\S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Run  -
Microsoft CRSS Service  REG_SZ  nsmscrs.exe
HKEY_USERS\S-1-5-18\Software\Microsoft\Windows\CurrentVersion\RunServices  -
Microsoft CRSS Service  REG_SZ  nsmscrs.exe
HKEY_USERS\S-1-5-21-1202660629-1770027372-839522115-1003\Software\Microsoft\
OLE  -  Microsoft CRSS Service  REG_SZ  nsmscrs.exe
Che faccio le cancello a mano?
Grazie della consulenza.
Sam

 Che faccio le cancello a mano?
[...]
Esportale e poi eliminale.
