Service_21.exe

[evvivame]

Ciao!,
Su un pc Toshiba / Windows 8.1 Pro a 64 bit di un amico, nel registro degli eventi (sezione Applicazione) ci sono uno sbrego di eventi tipo questo:

Codice: Seleziona tutto

Nome registro: Application
Origine:       Application Error
Data:          26/05/2014 18:00:22
ID evento:     1000
Categoria attività:(100)
Livello:       Errore
Parole chiave: Classico
Utente:        N/D
Computer:      Riccardo
Descrizione:
Nome dell'applicazione che ha generato l'errore: Service_21.exe, versione: 11.0.0.0, timestamp: 0x52a8d15d
Nome del modulo che ha generato l'errore: unknown, versione: 0.0.0.0, timestamp: 0x00000000
Codice eccezione: 0x00000000
Offset errore 0x00007ffd75770565
ID processo che ha generato l'errore: 0x8d8
Ora di avvio dell'applicazione che ha generato l'errore: 0x01cf78fb891d79ce
Percorso dell'applicazione che ha generato l'errore: C:\Windows\System32\Service_21.exe
Percorso del modulo che ha generato l'errore: unknown
ID segnalazione: d7212a46-e4ee-11e3-83b3-e0cec32fb6c7


L'amico non mi riporta particolari anomalie

Ma qualcuno ha idea di cosa si tratta ?
Grazie !!

[Dylan666]

Nome troppo comune in una cartella di sistema troppo importante.
Sospetto virus/malware molto alto.

Fai analizzare quel file qui:
https://www.virustotal.com/

[evvivame]

Grazie per il suggerimento !
Questo è il risulato: https://www.virustotal.com/it/file/3656e89f194bd27cd67d4f06a4a01e005f129e77e478f953ac1de53d168cd9a9/analysis/

Ho scannerizzato il pc con MalWareByte 2.0 e Nod32 7.0 ma nessun warning !

Mahhhh ...
Ciaooooooo

[Dylan666]

Ragioniamo per eccesso di sicurezza: siccome Comodo ha una versione free scaricala e vedi cosa trova

PS: ma se guardi le proprietà del file che ti dice? Si vede un produttore ad esempio?
http://www.kbdedit.com/manual/img/licen ... erties.JPG

[evvivame]

In ambiente XP non c'è il campo Registred to ( lo guardero al prossimo boot in ambiente Seven) ma ho visto che il "nome originale" è Service_KMS...
Tengo a precisare che sia Windows che office sono regolarmente attivati

[Dylan666]

Lascia stare il campo "Resgistered to", a me interessavano le altre informazioni tipo "Description", "Copyright" (in alto) e le altre che potrebbero far capire se quasto exe è legato a un prodotto specifico (hardware o software)

[evvivame]

Ecco la proprietà in ambiente Windows 7

[Dylan666]

mi pare illeggibile. Non salvare un JPG ma un PNG

[evvivame]

OK speriamo che ora vada meglio:

[Dylan666]

ok, adesso si vede
Non ci sono indicazioni di un produttore particolare e questa è un'altro punto alla teoria del possibile virus.
Non è una conferma, ma se avessi trovato un produttore, un copyright, una versione ecc (come quello del mio link) il virus sarebbe stato meno probabile.

Alla fine Comodo l'hai passato?

[evvivame]

Scusa del ritardo ma ho dovuto disinstallare NO32 e poi installare Comodo.
Nessun warning con Comodo!.

[Dylan666]

Non avevi letto kms nella descrizione.
In genere quella sigla indica attivatori pirata per prodotti office.
Non sarà questo il caso ma te lo segnalo