Jusched.exe

[aldebaran]

Ciao, Comodo firewall spesso mi segnala la presenza di Jusched.exe. Ho letto che potrebbero essere degli aggiornamenti di Java ma potrebbe trattarsi anche di malware. Cosa mi consigliate? Un grazie anticipato.

[BilloKenobi]

con molta probabilità sono proprio gli aggiornamenti java qual'è il percorso del file?

[aldebaran]

Allora, purtroppo il pc mi dava un sacco di noie quindi, tra le altre cose, ho fatto una scansione con "Antivir" della Avira che mi ha scovato un sacco di bestioline sgradite con percorso più o meno simile, tipo:

Troian Horse...C:\Programmi\Java\jre 1.5.0_09bin\jusched.exe

Questo cosa vuol dire, che non mi posso fidare degli aggiornamenti Java e devo bloccarli ogni qualvolta il firewall me li segnala?
Comunque nel frattempo ho disibilitato la funzione aggiornamenti automatici di Java in pannello di controllo. Qui ho trovato che l'ultimo aggiornamento Java risaliva a 6 mesi fa! Ma come è possibile se negli ultimi tempi sono stato più volte avvisato dal firewall che c'erano aggiornamenti? E' qui l'inganno? Ciao.

[BilloKenobi]

credo che tu abbia un trojan che infetta i processi all'avvio. ecco perchè jusched.exe è infetto.

Scarica systemscan, estrailo, avvialo, metti la spunta a tutte le voci e premi "Scan". poi vai su http://www.easy-share.com e metti lì il suo log (che trovi in C:\suspectfile\report.txt). poi dacci il link per scaricarlo (solo quello per scaricarlo, non quello per eliminarlo dal sito di hosting)

[aldebaran]

Allora, spero di aver capito bene come fare. Comunque il link dovrebbe essere il seguente

http://w13.easy-share.com/1015398.html

Devo dire che ho fatto varie scansioni con antivirus, antispyware, e Hijackthis (che non ha riportato nulla) e ora il pc sembra andare meglio. Comunque aspetto vs. conferma. Ciao.

[BilloKenobi]

scarica The Avenger --- http://swandog46.geekstogo.com/avenger.zip

Ora estrai e avvia Avenger.exe

disattiva antivirus, firewall, eventuali moduli hips

Seleziona l'opzione "Input Script Manually"
Clicca sulla lente di ingrandimento

Si apre una finestra "View/edit script"
All'interno del box bianco,copia e incolla le scritte in neretto:

Registry values to delete:
HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\SpecialAccounts\UserList|CWtpeSyubVWJtzL

Files to move:
C:\Programmi\AntiVir PersonalEdition Classic\bak\avgnt.exe|C:\Programmi\AntiVir PersonalEdition Classic\bak\avgnt.exe
C:\Programmi\Java\jre1.5.0_09\bin\bak\jusched.exe|C:\Programmi\Java\jre1.5.0_09\bin\jusched.exe
C:\Programmi\Spyware Terminator\bak\SpywareTerminatorShield.exe|C:\Programmi\Spyware Terminator\SpywareTerminatorShield.exe
C:\Programmi\HDD Health\bak\hddhealth.exe|C:\Programmi\HDD Health\hddhealth.exe
C:\Programmi\File comuni\Real\Update_OB\bak\realsched.exe|C:\Programmi\File comuni\Real\Update_OB\realsched.exe

Files to delete:
C:\Programmi\Skype\Phone\Skype.exe

Dopo di che, clicca sul pulsante Done
Clicca sull'icona del semaforo verde
Rispondi due volte Yes
Il pc dovrebbe riavviarsi da solo,se così non fosse riavvialo manualmente

Il programma rilascia un log con le operazioni eseguite.

Allegami il log di Avenger (che si trova in C:\avenger.txt) con l´esito dello script.

il virus purtroppo ha danneggiato skype. ti conviene disintallarlo e poi reinstallarlo

[aldebaran]

Billo scusami, ma se faccio le operazioni che tu mi dici, programmi tipo: Antivir, Hdd Health, ecc. che vedo riportate in neretto, subiranno cancellazioni?

[BilloKenobi]

no verrano ripristinati. il virus salva nelle cartelle "bak" i file sani, ed è sufficiente rimetterli a posto per eliminare l'infezione. il problema per skype è che appunto nella sua cartella non c'erano file da ripristinare

[aldebaran]

Devo dire che attualmente il pc non mi da grossi problemi (dopo le scansioni con Antivir, e vari antispyware), gli unici inconvenienti sono la mancata visualizzazione (ma non sempre) delle icone di programmi come Antivir ,HddHealth e il controllo volume, nonostante il loro stato sia attivo. Comunque ecco il log che mi hai chiesto. Ciao

Logfile of The Avenger version 1, by Swandog46
Running from registry key:
\Registry\Machine\System\CurrentControlSet\Services\flxibndn

*******************

Script file located at: \??\C:\WINDOWS\grvbsxgv.txt
Script file opened successfully.

Script file read successfully

Backups directory opened successfully at C:\Avenger

*******************

Beginning to process script file:

File move operation C:\Programmi\AntiVir PersonalEdition Classic\bak\avgnt.exe|C:\Programmi\AntiVir PersonalEdition Classic\bak\avgnt.exe completed successfully.
File move operation C:\Programmi\Java\jre1.5.0_09\bin\bak\jusched.exe|C:\Programmi\Java\jre1.5.0_09\bin\jusched.exe completed successfully.
File move operation C:\Programmi\Spyware Terminator\bak\SpywareTerminatorShield.exe|C:\Programmi\Spyware Terminator\SpywareTerminatorShield.exe completed successfully.
File move operation C:\Programmi\HDD Health\bak\hddhealth.exe|C:\Programmi\HDD Health\hddhealth.exe completed successfully.
File move operation C:\Programmi\File comuni\Real\Update_OB\bak\realsched.exe|C:\Programmi\File comuni\Real\Update_OB\realsched.exe completed successfully.
File C:\Programmi\Skype\Phone\Skype.exe deleted successfully.
Registry value HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\SpecialAccounts\UserList|CWtpeSyubVWJtzL deleted successfully.

Completed script processing.

*******************

Finished! Terminate.

[aldebaran]

...Ovviamente mi riferivo alle icone presenti nella barra in basso a dx vicino all'orologio.

P.S.
Scusa il linguaggio poco...informatico.

[BilloKenobi]

lo script ha avuto successo. per sicurezza, fai un nuovo log di systemscan sole della voce "Duplicates in BAK folders" e poi copia/incollalo qui, tanto sarà breve.

oramai non dovresti avere problemi per quanto riguarda le icone, possono essere molti i motivi

[aldebaran]

...Non chiamarmi imbranato... , ma non ho capito cosa dovrei fare. Devo usare di nuovo Avenger? Puoi darmi più dettagli?

[BilloKenobi]

ti ho fatto scaricare systemscan qualche post più in sù

Scarica systemscan, estrailo, avvialo, metti la spunta a tutte le voci e premi "Scan"

ora devi solo selezionare la voce "Duplicates in BAK folders" e poi premere scan. il risultato lo copi qui sul forum

[aldebaran]

Ok..ok, è solo che del programma in questione ricordavo solo
la dicitura SuspectFile. Ecco il log:

SystemScan - http://www.suspectfile.com - ver. 3.0.0

Running on: Windows XP PROFESSIONAL Edition, Service Pack 1 (2600.5.1)

Date: 21/04/2007
Time: 10.49.03

Output limited to:
-Duplicates in BAK folders

-------------Duplicates in BAK folders-------------

BAK folders found:

C:\Programmi\AntiVir PersonalEdition Classic\bak

25/12/2006 23.33.09 - 262184 - avgnt.exe

C:\Programmi\File comuni\Real\Update_OB\bak


C:\Programmi\HDD Health\bak


C:\Programmi\Java\jre1.5.0_09\bin\bak


C:\Programmi\Skype\Phone\bak


C:\Programmi\Spyware Terminator\bak


Duplicates found:

21/08/2006 12.06.56 - 241704 - C:\Documents and Settings\All Users\Dati applicazioni\AntiVir PersonalEdition classic\UPGRADE\basic\avgnt.exe
21/04/2007 09.35.31 - 327720 - C:\Programmi\AntiVir PersonalEdition Classic\avgnt.exe
25/12/2006 23.33.09 - 262184 - C:\Programmi\AntiVir PersonalEdition Classic\bak\avgnt.exe

Scanned 35915 files, in 3698 folders.

--------------------------
Scan completed in 1,7 minutes
End of report

[BilloKenobi]

vedi, avevo commesso un errore di sintassi nello script

inserisci questo nuovo script come prima e riavvia. poi sarà davvero tutto ok

Files to move:
C:\Programmi\AntiVir PersonalEdition Classic\bak\avgnt.exe|C:\Programmi\AntiVir PersonalEdition Classic\avgnt.exe

ciao

[aldebaran]

Billo, dopo quest'ultima operazione ho avuto una serie di problemi con Antivir che però ora sembrano essersi risolti dopo aver fatto pulizia di tutti i file temporanei, e aver fatto una serie di update (non tutti andavano a buon fine) dal sito di Avira Antivir.
Può dipendere dal fatto che proprio stamattina prima di contattarti Antivir mi chiedeva di fare un aggiornamento per in includere un'opzione antirootkit nel suo antivirus e quindi c'è stata poi una discrepanza di dati?

[BilloKenobi]

beh sì, diciamo che può essere. in effetti, pare che tu abbia risistemato tutto nell'unico modo corretto: pulizia, e riaggiornamento. quindi questo tuo

...Non chiamarmi imbranato...

risulta essere un'osservazione fuori luogo direi che oramai il pc è a posto. se ti serve, ripassa qui. ciao

[aldebaran]

...Ho fatto un test per verificare lo stato di guardia dell'antivirus ma non ha dato buon esito per cui ho reinstallato Antivir ma senza alcuna miglioria. Puoi dare un giudizio su tale test? Sai indicarmene altri?

http://exploit.blogosfere.it/2005/12/te ... uo-so.html

Che ne pensi di Antivir di Avira, tra i prodotti free quali sono secondo te i migliori?

[aldebaran]

Ho testato ancora il falso virus Eicar da quest'altro sito

http://www.csiaf.unifi.it/online/uso/eicartest.html

Risultato: se tento di scaricarlo dal sito, Antivir lo blocca. Se invece copio ed incollo la stringa in un editor di testo e poi tento di aprire il file, non succede nulla. Come mai?

[BilloKenobi]

devi rinominare il file in .com, per farlo diventare un eseguibile, altrimenti non lo riconosce