Eliminare uno scherzo

[Dylan666]

Continui a NON leggere quello che ti viene scritto... Ti ho domandato delle operazioni pianificate e non hai risposto; ti ho hiesto il log di HijackThis e nulla; nella guida ho scritto cosa segnala quel programma (e quindi è normale trovarci l'Acrobat) e niente....

[TREMENDA]

Scusami ancora,ho una connessione base e collegarmi significa tenere il telefono occupato.Non ho avuto il tempo di risponderti perchè dovevo ancora effettuare i controlli.Ho usato Hjiack This,il log è questo:
Running processes:
C:\WINDOWS\SYSTEM\KERNEL32.DLL
C:\WINDOWS\SYSTEM\MSGSRV32.EXE
C:\WINDOWS\SYSTEM\MPREXE.EXE
C:\WINDOWS\SYSTEM\mmtask.tsk
C:\WINDOWS\EXPLORER.EXE
C:\PROGRAMMI\STOPDIALERS\STOPDIALERS.EXE
C:\WINDOWS\DESKTOP\HIJACKTHIS.EXE

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\PROGRAMMI\ADOBE\ACROBAT 5.0\READER\ACTIVEX\ACROIEHELPER.OCX
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\SYSTEM\MSDXM.OCX
O4 - Startup: Stop Dialers.lnk = C:\Programmi\StopDialers\StopDialers.exe
O8 - Extra context menu item: &Download with &DAP - C:\PROGRA~1\DAP\dapextie.htm
O9 - Extra button: Related (HKLM)
O9 - Extra 'Tools' menuitem: Show &Related Links (HKLM)
O14 - IERESET.INF: SEARCH_PAGE_URL=
O14 - IERESET.INF: START_PAGE_URL=
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com/pub/shoc ... wflash.cab

Non te l'avevo ancora spedito perchè come ti ho detto inizia e finisce senza un motivo.Questo log è stato salvato quando il sistema ha funzionato in maniera normale e senza scherzi.Sto aspettando che lo rifaccia per salvare il log dei programmi in esecuzione.
In operazioni pianificate mi segnala l'avvio ottimizzazione applicazione che penso sia di default.Ho fatto ieri le prove a fare diverse impostazioni dell'ora per vedere se innesca lo scherzo,ma niente.Ora sto cercando di forzare l'avvio rimettendo di nuovo l'esecuzione automatica di tutti i programmi.Appena si manifesta il giochetto del carrello faccio lo scan e salvo il log.Scusami ancora.

[Dylan666]

Il log è OK. Certo che la cosa si fa misteriosa e interessante allo stesso tempo. Se è vero che nemmeno il Format C: ha eliinato il porblema (cosa che rasenta l'impossibile) comincio a sospettare un falso contatto nel carello del lettore... Se riuscissi a ricordare almeno come suonava il nome del file che hai scaricato o il sito da cui lo hai preso molti dubbi scomparirebbero...

[TREMENDA]

Ormai ogni ipotesi è plausibile per me.Sto facendo di tutto per innescare questo tormento ed avere qualche esito da Hijack This.Riproverò a fare la ricerca che feci allora e dirti il sito e il programma.

[TREMENDA]

Ho cercato in rete il sito o comunque il file,ma forse il sito ha cambiato la pagina e rimosso il file,per questo le mie ricerche sono risultate negative.Ho ricordato il file del virus eliminato,era girls.exe. Il masterizzatore per ora è normale,ma ha questa normalità sono abituata perchè mi ha illuso più volte.Su quello che ho letto su girls.exe non si parla di apertura impazzita del carrello.L'ipotesi di un problema hardware sembra più plausibile,visto che il masterizzatore ha un bel po' di anni.Aspetto che si manifesti di nuovo per salvare il log e chiedervi consiglio.Grazie per la pazienza!

[Dylan666]

Il problema è che se il programma si attiva, apre il carrello e poi si richiude scompare dai processi in esecuzione, quindi nella prima parte del log non compare, mentre le chiavi di avvio sono sempre le stesse e sembrano ok...

[Sergio1983]

Se la formattazione non ha risolto il problema, sicuramente è impazzito il meccanismo di apertura del carrello, indipendentemente da virus o scherzi vari. Cambialo.

[TREMENDA]

Credo che per "Cambialo" ti riferisci al masterizzatore.Aspetto che mi rifaccia il giochetto e se il log non mi segnala niente di anomalo penso che disconnetterò il masterizzatore e lo collegherò al momento del bisogno.Masterizza ancora benissimo!

[TREMENDA]

Ciao ragazzi,come promesso ho aspettato con molta pazienza che si verificasse di nuovo l'evento.Ho salvato il log ed ora aspetto il vostro responso.

Running processes:
C:\WINDOWS\SYSTEM\KERNEL32.DLL
C:\WINDOWS\SYSTEM\MSGSRV32.EXE
C:\WINDOWS\SYSTEM\MPREXE.EXE
C:\WINDOWS\SYSTEM\mmtask.tsk
C:\WINDOWS\SYSTEM\MSTASK.EXE
C:\PROGRAMMI\ALWIL SOFTWARE\AVAST4\ASHSERV.EXE
C:\PROGRAMMI\MCAFEE\MCAFEE FIREWALL\CPD.EXE
C:\PROGRAMMI\MCAFEE\MCAFEE FIREWALL\CPD.EXE
C:\WINDOWS\SYSTEM\RPCSS.EXE
C:\WINDOWS\EXPLORER.EXE
C:\WINDOWS\TASKMON.EXE
C:\WINDOWS\SYSTEM\SYSTRAY.EXE
C:\PROGRAMMI\DAP\DAP.EXE
C:\WINDOWS\SYSTEM\STIMON.EXE
C:\PROGRAMMI\INCREDIMAIL\BIN\INCREDIMAIL.EXE
C:\PROGRAMMI\MCAFEE\MCAFEE SHARED COMPONENTS\INSTANT UPDATER\RULAUNCH.EXE
C:\PROGRAMMI\STOPDIALERS\STOPDIALERS.EXE
C:\WINDOWS\SYSTEM\WMIEXE.EXE
C:\WINDOWS\SYSTEM\RNAAPP.EXE
C:\WINDOWS\SYSTEM\TAPISRV.EXE
C:\PROGRAMMI\INTERNET EXPLORER\IEXPLORE.EXE
C:\WINDOWS\SYSTEM\PSTORES.EXE
C:\WINDOWS\SLLIGHTS.EXE
C:\WINDOWS\SYSTEM\DDHELP.EXE
C:\PROGRAMMI\INTERNET EXPLORER\IEXPLORE.EXE
C:\WINDOWS\DESKTOP\HIJACKTHIS.EXE

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\PROGRAMMI\ADOBE\ACROBAT 5.0\READER\ACTIVEX\ACROIEHELPER.OCX
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\SYSTEM\MSDXM.OCX
O4 - HKLM\..\Run: [ScanRegistry] C:\WINDOWS\scanregw.exe /autorun
O4 - HKLM\..\Run: [TaskMonitor] C:\WINDOWS\taskmon.exe
O4 - HKLM\..\Run: [SystemTray] SysTray.Exe
O4 - HKLM\..\Run: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\Run: [VoodooBanshee] rundll32.exe 3DfxVBps.dll,BansheeLoadSettings
O4 - HKLM\..\Run: [DownloadAccelerator] C:\PROGRA~1\DAP\DAP.EXE /STARTUP
O4 - HKLM\..\Run: [StillImageMonitor] C:\WINDOWS\SYSTEM\STIMON.EXE
O4 - HKLM\..\Run: [Incredimail] C:\PROGRA~1\INCRED~1\bin\IncrediMail.exe /c
O4 - HKLM\..\RunServices: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\RunServices: [SchedulingAgent] C:\WINDOWS\SYSTEM\mstask.exe
O4 - HKLM\..\RunServices: [avast!] C:\Programmi\Alwil Software\Avast4\ashserv.exe
O4 - HKLM\..\RunServices: [McAfee Firewall] "C:\PROGRAMMI\MCAFEE\MCAFEE FIREWALL\CPD.EXE" /SERVICE
O4 - HKCU\..\Run: [McAfee.InstantUpdate.Monitor] "C:\Programmi\McAfee\McAfee Shared Components\Instant Updater\RuLaunch.exe" /STARTMONITOR
O4 - Startup: Stop Dialers.lnk = C:\Programmi\StopDialers\StopDialers.exe
O4 - Startup: EPSON Controllo in background.lnk = C:\ESM2\Stms.exe
O4 - Startup: Microsoft Office.lnk = C:\Programmi\Microsoft Office\Office\OSA9.EXE
O8 - Extra context menu item: &Download with &DAP - C:\PROGRA~1\DAP\dapextie.htm
O8 - Extra context menu item: &Add to IncrediMail Style Box - C:\PROGRA~1\INCRED~1\bin\WebMenuImg.htm
O9 - Extra button: Related (HKLM)
O9 - Extra 'Tools' menuitem: Show &Related Links (HKLM)
O14 - IERESET.INF: SEARCH_PAGE_URL=
O14 - IERESET.INF: START_PAGE_URL=
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com/pub/shoc ... wflash.cab

L'evento si è verificato dopo che avevo masterizzato correttamente ben 6 cd!Grazie per la vostra pazienza!

[Dylan666]

Siamo agli sgoccioli, nel senso che ho 2 tentativi in mente poi comincio a avvalorare l'ipotesi del falso contatto.

Ecco il primo: cos'è questo?:
C:\WINDOWS\SLLIGHTS.EXE

Hai un STMicroelectronics modem?

[TREMENDA]

Si,ti devo dare i dettagli del modem?

[Dylan666]

No, non serve. Mi pare molto strano che l'applicazione che ti ampre il lettore (se esiste) non appaia nel log di HijackThis. Sinceramente però confesso che non so se tiene conto anche delle voci nelle Operazioni Pianificate e nella cartella "esecuzone automatica" del tasto Start. Abbiamo già visto lì?

Ultima stada a che per ora mi viene in mente. Ammmesso che sia un programma la causa del problema, l'unico inconveniente che ora avremmo sarebbe quello di non riuscire a "pizzicarlo" quando appare, e prima che risparisca nel vuoto.

Se e dico se fosse solo questa la lmitazione che ci impedisce di individuarlo la soluzione potrebbe essere il Process Logger:

http://www.pc-facile.com/forum/viewtopi ... 705#165705

[TREMENDA]

Farò tesoro dei tuoi consigli.Avevo controllato le operazioni pianificate e non avevo trovato niente.Ho appena fatto il log,il modem è collegato e il lettore non fa scherzi,ma cosa curiosa......quel file non è in esecuzione.Forse è quello giusto e lo terrò d'occhio.Sto scaricando il programma.Grazie e buona domenica!

[Dylan666]

PS: mi sono ricordato (ed ho controllato) che la cartella Esecuzione automatica nel log di HijackThis è compresa