Winmain.exe

[olaffio]

Salve a tutti
Poco fa il pc ha iniziato a fare degli strani caricamenti e mi sono accorto che era in esecuzione il file winmain.exe, il quale, cercando in rete, è risultato essere un trojan di qualche tipo e di alta pericolosità.

Ho subito bloccato il file e l'ho tolto dall'avvio con Hijack This!, ma chiaramente è ancora su HD. Norton Antivirus aggiornato a ieri non lo rileva come virus e quindi non so come toglierlo se non cancellandolo...

Domande:

1) Come lo tolgo in maniera sicura?
2) Come si fa a capire se ha già fatto danni di qualche tipo?

Grazie ;)

[andorra24]

Ciao, intanto prova a fare una scansione con ewido: http://download.ewido.net/ewido-setup.exe

[olaffio]

Purtroppo ho WIN 98 SE e quindi Ewido non può funzionare :(

[olaffio]

In base a quello che dicono qui, sembra che basti cancellare il tutto...

http://www.kephyr.com/spywarescanner/library/htasploit.winmain/index.phtml

Ma il mio dubbio è che essendo stato in funzione non abbia fatto qualche danno, anche se non so che tipo di problemi possa causare. Il fatto che dice che fa partire il file mshta.exe è grave? E come faccio a impedirne il funzionamento?

Anche se rispetto a quello che dicono lì c'è una differenza, cioè il fatto che il "mio" Winmain è localizzato in c:\windows e non c:\windows\System

Posso cancellarlo e andare sul sicuro quindi oppure devo fare altro?

[andorra24]

Scaricati bitdefender free e fatti una scansione completa: http://www.bitdefender.com/site/Download/downloadFile/340/EN/

[olaffio]

Ordunque non mi rileva assolutamente quel file come virus nonostante prima sembrasse esserlo.

Che devo fare? Lo cancello o lo lascio lì dormiente?

[olaffio]

Hm nel registro alla voce Shellregld sotto local_machine\Software\Microsoft\Windows\Currentversion ho come dati "_Winmain", senza però che sia un file eseguibile...è semplicemente il nome del processo che ho tolto all'avvio.

Che bisogna fare?

[andorra24]

Ma quando usi hijackthis il log ti mostra qualche voce che si riferisce a questo trojan?

[olaffio]

Prima me la mostrava ora no perchè l'avevo fixato.
Mi hanno consigliato cmq di cancellare il file, credo sia la cosa migliore :P

[olaffio]

Alla fine ho deciso di rimuoverlo e l'ha fatto senza causarmi problemi apparenti
Speriamo in bene va :D

[andorra24]

Alla fine ho deciso di rimuoverlo e l'ha fatto senza causarmi problemi apparenti
Speriamo in bene va :D
Era la scelta piu' saggia. Tutti i siti lo davano come un pericoloso trojan. ;)

[olaffio]

Se può servire, qui ho trovato un programmino che dovrebbe essere specifico nella rimozione di tale trojan:

http://www.simtel.net/pub/pd/53731.shtml

Inoltre, dato che questo trojan agisce su MSHTA.exe che sembra essere un file piuttosto pericoloso, pur essendo una componente di Windows, c'è il modo di bloccare l'uso di questo file oppure farlo potrebbe provocare delle conseguenze pericolose?