rasautou.exe e problemi lentezza (pc e DSL)

[KID.A]

da un paio di giorni noto un semsnibile rallentamento della velocità della connessione adsl (wireless) e anche in misura monore del eprestazioni del portatile.

ma i problemi principali sono di connettività:
anzitutto sembra che, a parità di ricezione segnale "riceva" molto meno e conseguentemente navighi più lentamente o a tratti...ma talvolta (ora non si verifica più, ma la navigazione va a singhiozzo comunque) talvolta compare una finetra abbastanz anonima che comunica che "l'utente o un programma sta chiedendo la connessione" (con un riferimento ancher al Logon, che non ricordo bene...) e nel menu a scelta compare solo la connessione analogica dial-up

Ho fatto una, anzi più scansini totali con Malwarebytes Antimalware: tutto ok.
Ho allora ricercato il significato di alcuni processi che mi risultavano nuovi...in particolare ho isolato 1 processo che mi puzza:
"rasautou.exe"
l'ho anche individuato nella cartella "C:\WINDOWS\Prefetch" ma sembra ok

...non so che pesci pigliare....

[KID.A]

precisazione:
l'adsl di per sè va

ma:
- o sembra scomparire (a tratti) la connettività
- oppure il browser sembra lento o non crica la pagina, poi magari riparte correttamente (sia Explorer sia Firefox)

[KID.A]

info aggiuntiva che mi sembra importante:

ho guadato in
HKEY_CURRENT_USER\Software\Microsoft\RAS AutoDial\Addresses\
e compare questo indirizzo (che mi pare fosse uno di quleii che comparivano nella finestra di ri-connessione)
"safebrowsing.clients.google.com"

???

[KID.A]

scusate...ultimo EDIT:

guardo con attenzione i files recentemente creati in C:\WINDOWS\system32
e vedo un "MRT.exe" (20 mb) che, nelle Proprietà dice di essere "Microsoft Windows Malicious Software Removal Tool"

ma, a parte che non mi pare di averlo mai scaricato...vado qui e noto:
- il nome dell'exe è diverso
- le dimensioni sono diveese (solo 8 mb)

lo elimino ???

[Luke57]

Ciao, rasatou.exe è legittimo, mrt.exe idem, prova a inviare un log di hijackthis se hai sospetti di infezione.

[KID.A]

ho notato, leggendo in giro, che rasautou è legittimo ma potrebbe essere richiamato in modo "illegittimo" da trojano o virus, però
sospetti ne ho:
- la lentezza o i singhiozzi della connessione non sono giustificabili, a mio avviso
- la comparsa (ora non più) della finestra di connessione richiesta da un programma (con relativa disconnessione della dsl)

sono stato tutta notte a vedere di capire (ma come dicevo, la finestra non compare più, tuttavia i problemi di connettivtà restano) e con HijackThis avevo trovato di sospetta solo una voce:

O20 - AppInit_DLLs: ,

poi, siccome Malwarebytes mi dava tutto ok, avevo provato anche con Suspetcfile che, a fine scansione dava ok, ma mi ero ritrovato il desktop nero e sistema inchiodato (poi con TaskManager sono risciuto a sbloccare)...avevo notato 2 processi che non so se dipendessero da Suspectfile e no:

Codice: Seleziona tutto

runme.exe
sys71131


infine, il collegamento sul desktop a Windows Media Player, nelle Proprietà linkava a un percorso che mi è parso inconsueto:

Codice: Seleziona tutto

"C:\Program Files\Windows Media Player\wmplayer.exe" /prefetch:1"

....non so capire...potrebbe essere addiritura un Rootkit ???
stavo facendo un backup completo prima di fare modifiche importanti (anche x la sicurezza) non vorrei che il presunto trojan/rootkit mi si trasferisse anche sull'hd esterno...

[KID.A]

aggiungo una cosa, che forse è utile:
poco fa avevo debellato (definitivamente, spero) il trojan Vundo, mediante Malwarebytes

[Luke57]

Scusami, ma la tua discussione che cosa è? Un esercizio di stile? Un ragionamento ad alta voce? Che cosa dobbiamo fare noi? Se dici di aver esaminato sia il report di hijackthis sia quello di systemscan senza riscontrar niente (quei due processi sono del programma), dovresti essere a posto (systemscan cerca anche i rootkits)

[KID.A]

aggiungo una cosa, che forse è utile:
poco fa avevo debellato (definitivamente, spero) il trojan Vundo, mediante Malwarebytes

intendevo dire:
"pochi giorni fa" (prima di imbattermi nel problema di cui stiamo discutendo in questo Topic)
mi era quindi sorto il sospetto (che volevo sottoporvi) che forse l'eliminazione di Vundo non fosse stata completa...o magari è un'altra mia ipotesi senza fondamento
sto cercando di capire
...non so, sto chiedendo appunto perché da solo non riesco a capire e trovare una soluzione !!!

spero nasca da questo equivoco la tua risposta seccata...che mi ha lasciato con l'amaro in bocca, se devo essere sincero...
Infatti, non stavo dicendo ""ho fatto questo, quello...e ho risolto tutto per conto mio, quanto sono bravo"

al contrario, stavo cercando di fornirvi più dettagli possibili, vi informavo anche su quelle analisi che ero riuscito a fare (e che, incomprensibilmente per me, avevano detto che tutto ok)
perché QUALCOSA, che mi rallenta il sistema (soprattutto browser) e che rende la connessione ora disponibile ora assente (ora sì, tra 2 minuti no, poco dpo sì...etc), qualcosa di strano c'è
ma DA SOLO non riesco (nonostante le ipotesi che cerco di fare, non certo in tono arrogante) NON riesco a capirlo

[Luke57]

Ciao, il report di systemscan deve essere analizzato, pertanto allegalo a un post.

[KID.A]

faccio presenti, prima, doverosamente 2 note:
- oggi, senza aver mosso un dito, tutto a ripreso a funzionare a perfezione (finora) diversamente da ieri notte
- Suspectfile, di cui allego il report più recente, si era bloccato due volte durante la scansione, la seconda (a fine scansione) vedevo il desktop nero

cmq, ecco il report Systemscan(se trovi talvolta dei puntini o asterischi, ce li ho messi io x privacy)
ti ringrazio per un parere a riguardo
(se ritieni necessari/utili altri controlli con altri programmi, fammi sapere)

Prima di fare backup su hd esterni e fare modifiche importanti, vorrei essere abbastanza sicuro di essere "pulito"
...come mi pareva strano il comportamento che vedevo sino a ieri notte(= connessione sempre presente, poiché non avveniva più disconnesione e richiesta di autodialing mediante account dial.-up, ma browser che per un minuto andava perfettamente e il minuto successivo non caricava neppure la pagina...e così a ripetersi),
altettanto mi pare strano che con l'alba di oggi tutto si sia sistemato da sè
sei d'accordo?

[KID.A]

il tuo silenzio come devo interpretarlo?
tutto ok?

[Luke57]

Ciao, scusa il ritardo, non ho trovato niente. Alcune cartelle bak presenti nel tuo computer, sintomo di una possibile infezione da instantaccess, sono vuote. Avevi provveduto tu a prelevare i file .exe al loro interno, ripristinandoli nella loro posizione originale?

[KID.A]

in passato avevo beccato un Dialer che aveva spostato vari files di sistema in cartelle Bak (sì, avevo eliminato a mano quelli infetti e ripristinato quelli originali... e non si è più ripresentato)
le cartelle Bak le posso lasciare ?

nel report Systemascan (verso la fine) c'è una sezione chiamata "SUSPICIOUS FILES ":
sono elencati alcuni files, io non li so riconoscere...mi confermi che sono a posto?
grazie ancora

[Luke57]

Ciao, è vero, ho alcuni dubbi su questo:
C:\WINDOWS\AKDeInstall.exe
prex lo identifica come malware, connesso a questo programma però:mpegable DS
prova ad analizzarlo su virus total
http://www.virustotal.com/it/
Le cartelle back puoi eliminarle (sono vuote).

[KID.A]

mpegable è u programma che in effetti ho

cmq, guarda qui il reporto di Virustotal:
http://www.virustotal.com/it/analisis/b ... aa59d9011c

e grazie di nuovo!

[KID.A]

scusa un'altra cosa (che ho notato casualmente ora):

nella chiave (solitamente vuota, anche dopo che avevo installato Malwarebytes' Anti-Malware )
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce
ora vedo questo valore:

C:\Program Files\Malwarebytes' Anti-Malware\mbamgui.exe /install /silent

...è semplicemente dovuto al fatto che ho aggiornato il software ?