Eseguibile a.exe tenta di accedere ad internet

[segugiofan]

Ciao a tutti. Ho windows xp sp3 e per quanto riguarda la sicurezza del pc utilizzo antivir costantemente aggiornato con zone alarm. Ieri, mentre ero connesso ad internet, è apparso un messaggio di zone alarm con scritto che un file denominato a.exe presente in C:\WINDOWS\system32 voleva connettersi ad internet. Ho fatto subito una scansione in modalità provvisoria con antivir che non ha rilevato alcun virus, mentre la scansione online con panda ha dato questo risultato:
adware/superspider Adware c:\windows\system32\a.exe
spyware/bridge Spyware c:\windows\system32\a.exe
Adware/RogueAntimalware2008 Adware C:\WINDOWS\Temp\TDSSeb04.tmp
La scansione online con trend micro ha rilevato infezione da virus Troj_small.maw, Troj_fakeaval.ai, Troj_fakeaval.ae mentre kaspersky online scanner ha rilevato queste infezioni:
C:\Documents and Settings\sereno\.housecall6.6\Quarantine\._file[1].exe.bac_a02456 Infected: Trojan-Downloader.Win32.Small.acza
C:\Documents and Settings\sereno\.housecall6.6\Quarantine\a.exe.bac_a02456 Infected: Trojan-Downloader.Win32.Small.acza
C:\Programmi\mIRC\backups\mirc.exe Infected: not-a-virus:Client-IRC.Win32.mIRC.621
C:\FOUND.000\FILE0074.CHK Infected: Rootkit.Win32.Clbd.jj
I primi credo siano un falso poitivo perchè housecall si riferisce a trend micro. Comunque poi ho proseguito scansionando il sistema con ad aware, spybot, superantispyware e Hijacktis che non hanno rilevato nulla di anomalo. Secondo voi mi devo preoccupare oppure no?

[Dylan666]

spyware/bridge Spyware c:\windows\system32\a.exe
Adware/RogueAntimalware2008 Adware C:\WINDOWS\Temp\TDSSeb04.tmp
Il nome e la posizione sono mooooolto sospetti. Se sono in esecuzione terminali da Ctrl+Alt+Canc e buttali. Occhio a togliere anche eventuali chiavi di avvio, magari con HijackThis

C:\Documents and Settings\sereno\.housecall6.6\Quarantine\._file[1].exe.bac_a02456 Infected: Trojan-Downloader.Win32.Small.acza
C:\Documents and Settings\sereno\.housecall6.6\Quarantine\a.exe.bac_a02456 Infected: Trojan-Downloader.Win32.Small.acza
Falsi positivi, o meglio quelli sono virus ma già messi in quarantena

C:\Programmi\mIRC\backups\mirc.exe Infected: not-a-virus:Client-IRC.Win32.mIRC.621
Non è un virus e dato che lo dice pure il log non capisco perché metterlo in lista

C:\FOUND.000\FILE0074.CHK Infected: Rootkit.Win32.Clbd.jj
Non so se è vero (mi pare strano) comunque è finito nella cartella dei file frammentari recuperati dallo scandisk dopo un riavvio. Dovresti essere proprio un tipo fortunato se un riavvio va a rendere inutilizzabile proprio un virus... comunque nello stato attuale e con quella estensione non può nuocere

[segugiofan]

spyware/bridge Spyware c:\windows\system32\a.exe
Adware/RogueAntimalware2008 Adware C:\WINDOWS\Temp\TDSSeb04.tmp
Il nome e la posizione sono mooooolto sospetti. Se sono in esecuzione terminali da Ctrl+Alt+Canc e buttali. Occhio a togliere anche eventuali chiavi di avvio, magari con HijackThis

Ho esaminato il log di hijacktis e non c'è nulla in esecuzione e neanche tramite ctrl+alt+canc, ho cotrollato persino con process explorer e startup control panel, comunque mentre stavo facendo la scansione online con panda, antivir era attivo e mi rilevò due infezioni delle quali non ricordo il tipo. Ho fatto una scansione online persino su ewido...

[Dylan666]

trova quei file e se ci sono cestinali

[segugiofan]

Non li ho trovati. Ti ringrazio.

[Dylan666]

Facciamo la prova de nove.
Vai su Start > Esegui e scrivi CMD
Nella finestra che appare digita questo:

Codice: Seleziona tutto

REN c:\windows\system32\a.exe a.exe.bck

Se compare "Impossibile trovare il file specificato." allora veramente non c'è

[segugiofan]

E' apparso "impossibile trovare il file specificato. Ciao.

[segugiofan]

Stamattina ho fatto l'aggiornamento di windows xp da windows update e dopo circa una mezz'ora appare nuovamente il messaggio di zone alarm, vado a controllare nel percorso C:\WINDOWS\system32 e con mia meraviglia trovo ancora a.exe (ieri sera non c'era). Non capisco me ne ero liberato ed ecco che ritorna?

[Luke57]

Ciao,scarica sul desktop
http://www.suspectfile.com/systemscan
disconnetti il pc da internet => disattiva l'antivirus, apri il programma e assicurati che tutte le opzioni siano spuntate, clicca su "Scan Now"; al termine della scansione verranno rilasciati (sempre sul desktop all'interno della cartella suspectfile) due file. Allega il file (utilizzando l'apposita funzione del forum) con estensione .zip nella tua prossima risposta.

[segugiofan]

Ecco il file...

[Luke57]

Ciao, apri nuovamente systemscan, fra le opzioni scegli "removal script", nel box bianco incolla quanto segue:

files to delete:
C:\WINDOWS\system32\a.exe

poi premi "Proceed with removal" e dai i consensi necessari. il pc si riavvierà, e in C:\avenger.txt troverai un report . Postalo nel forum.

[segugiofan]

Eccolo. Ciao.

[Luke57]

Ciao, prova questo script, sempre con avenger:

files to delete:
C:\WINDOWS\system32\a.exe.bck

Posta il report.

[segugiofan]

Ho eseguito lo script però al riavvio è comparsa la barra delle applicazioni di colore blu, cioè quella originaria di windows xp che io avevo in precedenza sostiuito optando per quella classica grigia...Ecco il file. Ciao.

[Luke57]

Ciao, adesso il file è stato eliminato (aveva due estensioni, dopo la manovra con il prompt dei comandi)..

[segugiofan]

Grazie mille Luke57.