Quando l'antivirus impazzisce aka File di Sistema è stato bello conoscervi

[Titus_silverblood]

Carissimi, è accaduto l'impensabile. Su un pc dotato di Windows 2000 Professional con Sp4 è stato installato un antivirus, BitDefender. Durante l'installazione è partita una scansione automatica della cartella WINNT (in cui risiede il sistema operativo) e PROGRAMMI. Al termine di tutto questo, il computer si riavvia, sembra funzionare con tutti i processi giusti al posto giusto, ma non visualizza la UI, rimanendo sul semplice sfondo iniziale. E' possibile accedere al task manager, ed attraverso la finestra "lancia nuova operazione", con il tasto sfoglia, controllare il contenuto del sistema. In questo modo ho avuto accesso al Log dell'antivirus, scoprendo l'orrore puro. A quanto pare, ha individuato come infetti alcuni file di sistema fondamentali, ha cercato di pulirli, non vi è riuscito, e li ha quindi CANCELLATI! Non in quarantena, ma CANCELLATI. La quarantena sarebbe stata la terza opzione, ho scoperto, in caso di fallimento delle prime due.

<AffectedItem itemType ="File" path="C:\WINNT\iexplore_32.exe" threatType="virus" threatName="Trojan.Agent.ABMP" action="disinfect" finalStatus= "clean" error= "deleted"/>
<AffectedItem itemType ="File" path="C:\WINNT\system32\igfxsvc.exe" threatType="virus" threatName="Trojan.Agent.ABMP" action="disinfect" finalStatus= "clean" error= "deleted"/>
<AffectedItem itemType ="File" path="C:\WINNT\system32\spoolw.exe" threatType="virus" threatName="Trojan.Agent.ABMP" action="disinfect" finalStatus= "clean" error= "deleted"/>
<AffectedItem itemType ="File" path="C:\WINNT\w32dbg.exe" threatType="virus" threatName="Trojan.Agent.ABMP" action="disinfect" finalStatus= "clean" error= "deleted"/>

Due dei file sono riuscito a recuperarli, ma mi mancano i fondamentali Iexplore_32.exe ed w32dbg.exe .

La mia domanda è semplice: se li trovassi della corrispondende versione di win2000, potrei copiarli nel sistema e sperare in un riavvio senza dover reinstallare windows o cercare di ripristinare tutto (ho un pò timore di quello che accadrebbe a parecchie applicazioni installate). E nel caso, qualcuno li ha o sa dove recuperarli singolarmente? Sarebbe un enorme favore. Grazie a tutti!

[Khronos]

vedi, c'è un problema.
iexplore_32.exe non ti è indispensabile. non è il vero internet explorer, è un virus, e bitdefender ha avuto tutte le ragioni del mondo per eliminarlo. il vero IE si chiama "iexplore.exe".
anche spoolw.exe..... il vero spooler di stampa si chiama "spoolsv.exe".
anche igfxsvc.exe..... pure quello è un malware.
w32dbg.exe... neanche a parlarne, è un trojan pure lui ^^
quindi, se non ti parte più la GUI, la ragione è da cercarsi in una semplice "malsicurezza". ^^

[Titus_silverblood]

Hai ragione! In un altro topic ho trovato questo:

Scansionare con VIRIT debitamente aggiornato: rimuoverà alcuni files (spoolw.exe, igfxsvc.exe, w32dbg.exe, iexplore_32.exe ed altri .exe e .dll) infetti da Trojan.Win32.Agent.AXN e Trojan.Win32.Small.LQ ed eventualmente farà riavviare se i files saranno in esecuzione.

Al riavvio il desktop sarà vuoto e potrete usare solo TASK MANAGER (da qui non potrete lanciare nemmeno internet explorer in quanto non funzionante) quindi scegliete FILE > NUOVA OPERAZIONE > (scrivete) regedit (+ INVIO)
andate a cercare ed eliminate queste 2 voci dal registro:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\explorer.exe (che fa riferimento al file c:\windows\w32dbg.exe)
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\iexplore.exe (che fa riferimento al file C:\windows\iexplore_32.exe)

Chiudete il registro, tornate in TASK MANAGER e scegliete FILE > NUOVA OPERAZIONE > (scrivete) explorer.exe (+ INVIO)

CIAO

Credo sia la soluzione al mio problema. Lo proverò quanto prima.

[Khronos]

subito dopo, usa un firewall decente (che mi pare tu non abbia) come "Comodo firewall (http://www.hwupgrade.it/forum/showthread.php?t=1598794)". BitDefender potrebbe andar bene come Antivirus. Come Antispyware, invece, consiglio la coppia "a squared" e "spybot search and destroy". Vista la situazione del pc, una scansione approfondita con questi ultimi 2 strumenti è d'obbligo.