Processo services.exe

[Lenders85]

Ciao a tutti.
Da qualche giorno ho un grosso è problema con il mio pc. Dico grosso xkè praticamente ricevo un messaggio che dopo rende il pc inutilizzabile visto che me lo riavvia.
Il messaggio in questione è questo:

"Il sistema sta per essere arrestato. Salvare tutto il lavoro in corso e chiudere la sessione. Tutte le modifiche non salvate andranno perse. L'arresto è stato iniziato da NT AUTHORITY\SYSTEM.
Il processo di sistema "C:\WINDOWS\system32\services.exe" è terminato in modo non previsto con codice di stato 204. Il sistema sarà chiuso e riavviato."

E dopo un countdown di circa 40 secondi si riavvia. :muro:

Aggiungo, se può esservi utile, che ho Win XP SP4, con aggiornamenti attivi, e per di più (pensando fosse un virus) ho fatto un bello scan con Antivir in modalità provvisoria e disattivando il ripristino di sistema, ma non sono stati trovati virus. :mbe:

Sapete aiutarmi? :cry:
Grazie in anticipo.

PS: Spero di aver azzeccato la sezione del forum giusto, altrimenti chiedo in anticipo scusa ai mod.

[Khronos]

cerca i tool di rimozione del Sasser.
fai scansioni anche con programmi antispyware (adaware, spybot search and destroy)

[Lenders85]

Dici che potrebbe essere un Virus... cmq domani mattina appena torno a casa provo con dei tools sul sasser cm mi ha consigliato e ti dico.

[tutmosi3]

Il SO è aggiornato?
Hai un firewall?
Hai un antivirus?
Sono aggiornati?

Ciao

[Lenders85]

Il SO Win XP è sempre con aggiornamenti attivi, firewall di xp attivo, antivirus (Antivir) è sempre aggiornato.

Ho provato a scaricare un tool della Symantec e uno di Microsoft per il Virus Sasser, ma niente. Dicono che non trovano file infetti.

Infine, ho installato AD-Aware, mi ha trovato un pò di file tra cui molti trascurabili e 3 Malware, cancellati.. ma il problema persiste.. cosa può essere!?!? :cry: :muro:

[Portocala]

http://forums.techguy.org/security/524454-forced-shutting-down-services-exe.html

ha il tuo stesso problema
gli ultimi due post spiegano che si tratta di un trojan e dice anche come risolvere il problema

[Lenders85]

Ho provato a dare un occhio.. purtroppo ho qlke lacuna in inglese.. :doh:
Nn è ke riuscireste ad aiutarmi ad interpretare il daffarsi per risolvere il problema?

Grazie mille ragazzi!

[86alessio86]

Non vorrei tirare una cavolata,anchio avevo il problema identico e lo ho risolto,era un rootkit.prova a usare avg antirootkit,virit,e gmer,con quest'ultimo sono riuscito a trovare il virus.Spero che risolva ti posto il link cè anche la

guida.http://www.pcalsicuro.com/main/guida-a-gmer/

[Lenders85]

Cn il GMER succede qst cosa strana, ovvero:
Con il server (che è questo pc da cui mi collego su internet) appena clicco due volte sull'iconcina del gmer, il programma funziona correttamente e tutto quanto.
Con il client (che è il pc nella altra stanza e dunque quello con il problema in questione) appena ci clicco due volte nn succede nulla. Appare 2 secondini la clessidra ma poi nulla e niente succede; il pc non si blocca, si riesce ad utilizzare ma niente, il gmer qui non vuole partire.



Cmq se il link nel post di Portacala è quello con la spiegazione giusta, nn è ke potreste aiutarmi su qll ke purtroppo, cm scritto sopra, cn l'inglese non è ke me la cavi molto..?

Grazie in anticipo!

[86alessio86]

Mi dispiace per gmer io mi ci sono trovato bene anche da un amica..se portocala ha gia fatto tutto ti potrebbe dare un aiuto comunque per l'inglese ok si cerca di poterdi dare un aiuto.Comunque cè anke viriit ke ha un periodo di prova co tutte le funzioni e poi dopo..DAi facci sapere poi

[Lenders85]

Raga nn ci capisco più niente.. il problema continua a volte con codice 204, poi a volte con codice 203 e altre ancora con 1073741819.

Nonsapete proprio aiutarmi?? Vi prego!! :cry:

Se devo postare qlke altra info ditemi.. ho visto ke alcuni in altri forum postavano dei file di log.. ditemi se vi serve qlcs per aiutarmi!

Grazie ankora!

[Lenders85]

Up pleaseee.... ho bisogno del mio pc..!!! così è inutilizzabile! :cry:

[86alessio86]

nell'ultimo 3d cè 2 link per scaricare quell'antivirus.Cosa non hai capito?

[Lenders85]

86alessio86 se leggi dopo qll post ho già spiegato e risposto..
Il problema ce l'ho ancora!

Ragazzi potete darmi una mano? Vi devo allegare qlke file d log o robe del genere? ditemi se vi serve qlcs per poter capire meglio che cerco di procurarlo!

Grazie ankora!

[86alessio86]

Si scusa avevo tralasciato un pezzo di testo..Guarda se con virt it o agvantirootkit riesci.Non ho altro da consigliarti sono quelli ke ho usato anchio.Oltre a ciò non so come altro aiutarti oltre a dirti di aspettare risposte o spippolare in internet

[Lenders85]

sto cercando sul web come un dannato, ma è un casino trovare la soluzione...
voi cn dei file d log o qlcs del genere nn mi sapete aiutare?? :cry:

[marika43]

fai un log di hijackthis

[Lenders85]

Ragazzi sto impazzendo.. vado per lanciare il hijackthis ma appena ci clicco me lo chiude... proprio cm il gmer!
cm kakkio posso fare.. sto impazzendo! :cry:

[Lenders85]

Up per favore!! Nn posso rimanere cn il mio pc inutilizzabile.. aiutooooooooooooo!!! :muro: :cry:

[Portocala]

ciao

hai detto che da modalità provvisoria riesci ad eseguire i programmi.
posta un log di hijackthis. nel mentre traduco la pagina che ti avevo linkato

[Portocala]

quello che diceva il link

1) start - esegui - regsvr32 MSXML3.dll
riregistra il parser Microsoft's XML

2) da quello che ho letto

apri il registro, fai un backup e poi cerchi questa voce

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\pe386
e deleti pe386

*fonte Symantec http://www.sarc.com/avcenter/venc/data/backdoor.rustock.b.html



siccome è una processo che si nascode sotto mentite spoglie forse dovrai prima fare questo:

un tool manuale è il seguente: http://forum.sysinternals.com/uploads/MPART/2006-05-24_064522_unhook.zip

scompatti in una cartella
da start - esegui - cmd
vai nella cartella dove hai scompattato i files
"unhook.exe" - per vedere gli hooks (chi nasconde cosa)
"unhook.exe -u" - per sbloccarli e poterli cancellare manualmente usando il punto 2.


spero funzioni

[Lenders85]

Ora sn in ufficio e non posso provare... cmq io il hijack e il gmer non riuscivo neanke a farli partire in modalità provvisoria.. :(

[Portocala]

:(

allora fai la prova manuale che ho scritto alle 11:14

[Lenders85]

Allora raga, ho fatto:

1) start - esegui - regsvr32 MSXML3.dll
riregistra il parser Microsoft's XML

2) da quello che ho letto

apri il registro, fai un backup e poi cerchi questa voce

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\pe386
e deleti pe386

Quando ho fatto il punto 1 mi è uscita una finestrella che mi dice regsvr... riuscito.
Poi ho controllato come nel punto 2 se in qll kiave d reg c'era un pe386, ma nn c'era niente. (solo un REGZ ora nn ricordo bene, una roba del genere e basta).


Poi ho fatto:
scompatti in una cartella
da start - esegui - cmd
vai nella cartella dove hai scompattato i files
"unhook.exe" - per vedere gli hooks (chi nasconde cosa)
"unhook.exe -u" - per sbloccarli e poterli cancellare manualmente usando il punto 2.


Ma anche qui.. quando ho fatto "unhook.exe" e poi il "unhook.exe -u" mi diceva niente.. cioè premevo invio e nn vedevo nulla a livello visivo.. cmq guando ho controllato la kiave d reg nn c'era nulla cmq.


Poi ancora (tutto qst ovviamente l'ho fatto in modalità provvisoria Administrator) ho provato ancora a vedere se questa volta il hijack funzionasse, ma nulla.. appena gli clicco, mi apre il menù ma poi me lo chiude subito in automatico!!! :muro: Nn c'è un modo x nn far chiudere i programmi? Dite che ovviamente è sempre il problema del pc ke mi fa chiudere i programmi così?

Sto sclerando raga.. aiutatemi vi prego! :cry:

[Lenders85]

UP! :( :( :( :( :( :( :cry: :cry: :cry: :cry: :cry: :muro: :muro: :muro:

[Portocala]

devi cancellare pe386 (dopo aver fatto un backup del registro)

[Lenders85]

Quando ho fatto il punto 1 mi è uscita una finestrella che mi dice regsvr... riuscito.
Poi ho controllato come nel punto 2 se in qll kiave d reg c'era un pe386, ma nn c'era niente. (solo un REGZ ora nn ricordo bene, una roba del genere e basta).


Nn c'era qll pe386... :(

[Portocala]

riprova con unhook.exe -u
poi ritorna nel registro

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\

e guarda se cè pe386 e lo cancelli. lo trovi sulla sinistra e non sulla destra

[Lenders85]

ok. Ho fatto unhook.exe -u, poi ho aperto il registro e nn ho trovato nessuna sottocartella pe386. :(

[Lenders85]

Aiutooooooooooooooooo!! :cry:

[86alessio86]

Deduco che hai una lan..Scusa se metti in condivisione l'hard disk dle client(momentaneamente)poi lanci gmer dal tuo server vedi l'hard disk del client e puoi provare a lanciare la scanzione.Su internet hai cercato?Rimozione rootkit?o qualcosa inerente a ciò?

[Lenders85]

Cm posso far vedere l'hd del client al server cn gmer? Io ho messo in rete l'hd del client, ma cn gmer vedo solo qll del server? Ho messo anke la cartella documenti condivisa del client.. ma cmq cn gmer vedo solo la roba del server! Cm faccio a prenderli cn gmer le cartelle del client?

[86alessio86]

Dv hai l'unità del c(presumo) del server sotto non vengan altre unità?

[Lenders85]

Vengono fuori solo c e d ke sn nel server... ma il c del client ke ho in condivisione in rete nn c'è!
Però appunto se vado su risorse di rete vedo tt qll ke ho in condivisione (c, d, c del client, documenti del client..), cm mai???

[86alessio86]

Io non lan ma via cavo(peggio) mi sembra ke lo vedesse solo ke ho formattato e ho da ricondividere tutto.Non saprei,se lo sposti dentro all'altro hd disk e lo lanci da li hai provato?a vedere ke ti legge?

[Lenders85]

No anke se lo metto nell'altro hd nn cambia niente.. anke xkè cmq il secondo hd del server è solo per storage.
Cm cakkio si può fare??

[86alessio86]

Nn m ricordo manco in modalità provvisora con amministraore ti fa gmer o avg?altre idee nn ne ho.Sem vengai n mente le posto

[Lenders85]

No cm avevo già scritto in precedenza in modalità provvisoria e amministratore, rimane cmq il problema che gmer o hijack nn me li fa aprire.. o meglio me li apre ma neanke dp 2 secondi me li chiude da solo!
Aiutooooooooooooooooooo!!! :cry::muro: :cry: :muro: :cry:

[86alessio86]

Prova a questo link http://vil.nai.com/vil/stinger/rkstinger.aspx
per scaricare scorri giù,quando trovi scritto download it sotto cè scritto here,clicchi e lo scarichi.Questo non lo ho provato ma lo ho scaricato l'altro giorno.Se con questo riesci..

[Lenders85]

Cm al solito... sul server funziona, ma sul client no!!
Nn credo ke questo funzioni per le cs in rete, quindi un controllo cn la rete non credo funzioni!

[86alessio86]

Prova a non lasciarlo in rete e usarlo a se,Non ke altro dirti

[Lenders85]

Dici ke in rete è + difficile ke abbia problemi? cmq provo ora a fare delle prove senza collegarlo al cavo cross, anke se dubito ke riuscirò a sistemarlo!! :(
Se vi viene in mente un aiuto io sn qui!!! :cry:

[86alessio86]

Nella rete non lo so non ho esperienza ho solo una connessione via cavo con l'altro pc quindi.Provare non nuoce.Leggevo il manuale di gmer.guarda se hai sto file lzx32.sys

[Lenders85]

Cmq anke la mia rete è composta da un semplice collegamento cn cavo cross fra due pc!
Dv dvrei averlo qll file?

[86alessio86]

ma te ethernet io parallelo!Mi pare in windows.Ma fai cosi dai cerca sull'hard disk e vedi

[Lenders85]

Qll file nel hard disk del client e ne del server non l'ho mica trovato.. :confused:

[86alessio86]

non è detto ke c sia infatti può darsi.Io non ke altro dirti perchè la guida di gmer spiega tutto come fare cn gmer quindi... non penso ke se ti posto tutto ke cè scritto qui...Non firrebbe +

[Lenders85]

Ragazzi per favore....... AIUTATEMIIIII!!!!!!!!!! :cry: :cry: :cry:

[86alessio86]

e tut tagliassi la testa al toro?Ti salvi tutto e formatti non faresti prima?

[Lenders85]

Sn sincero, ora cm ora, non posso formattare..!! :( :cry: :muro:

[Lenders85]

Nessuno riesce ad aiutarmi!?!?! :( :( :(

[Lenders85]

UUUUPPPPPPPP!!!! pleaseeeeeeeeeeeee!! :mc: :muro:

[Lenders85]

Dai raga nn c credo ke nessuno sa aiutarmi?!?!?! :(
Legete il primo post e basta... vi prego aiutatemi!! Il pc così è inutilizzabile!! :muro:

[Lenders85]

UP!! :( :( :( :( :( :( :( :cry: :cry: :cry: :cry:

[86alessio86]

Non ti puoi salvare i file sull altro pc e poi formattare?un punto di ripristino?Non m ricordo se questa cosa è gia stata detta.Altro non lo so quelli che conosco di antivirus te li ho ma non capisco perchè ti vadino solo sul server e no sul client

[Lenders85]

Forse xkè qst problema nmi blocca qlke programma.. però nn saprei.. è solo una supposizione, anke perchè nn me ne spigherei altre..!!

Lo so ke cn la formattazione tutto si risolve.. ma io sn un tipo ke la "formattazione" la vede cm ultimissima spiaggia.. ora nn ci sono ankora arrivato! :) :( :cry:

[86alessio86]

ti capisco anchio qualche volta la scelgo come ultima spiaggia solo che qui mi sembra di risposte...E poi non hai possibilita di mettere qualcosa nel client perchè non ti lancia alcun antivirus.Provato a fare un scansione da internet?

[Lenders85]

Ke link mi consigli per la scansione online? :(

[86alessio86]

http://www.pandasoftware.com/CMSPANDA/SobrePanda/default.aspx?NRMODE=Published&NRORIGINALURL=%2f&NRNODEGUID=%7b8B31F94E-CA57-419A-A66B-22B1EBDFF683%7d&NRCACHEHINT=NoModifyGuest#
http://www.kaspersky.com/virusscanner
e mcafee (che non ricordo il sito,basta che cerchi mcafee su google e tovi il sito) che fanno scanzioni on line gratis.Ovviamente ti dovresti collegare dal client e utilizzare internet explorer con firefox non vanno.

[Lenders85]

Ok grazie.. proverò con questi scan e vi farò sapere se mi trovano qlcs! :(