Bug (bsod frequenti) o infezione radicata? [Archivio]

Episteme

08-06-2008, 01:58

Buonasera.
Io ho riscontrato un grosso problema sl mio Hp Pavillon dv8000.
Lo ho comperato nell'ottobbrre del 2007. Da allora non avevo mai formattato, in quanto non era mai stato necessario.
Tuttavia a partire da un paio di settimane ho riscontrato una serie di problemi: malgrado non apparissero messaggi di errore avevo aavuto un calo repentino delle prestazioni.
Mi sono deciso a fare il Back Up. Il computer sembrava come nuovo. L'ho usato per una sera ed una mattina....poi ecco che mi compare il primo fatidico, classico errore di internet Explorer. Visto che non riuscivo ad usare il browser ho deciso i scaricare gli aggiornamenti forniti dalla Microsoft, e ho riavviato. Ma il computer non si è riacceso come prima: alla schermata di avvio di Window si è bloccato.
Allora ho deciso di iserire il disco di back up per effettuare il riparo: il riparo sembrava fatto con successo, quando ecco che al momento di riconfigurare Window il pc si blocca ancora: dopo una serie di accendi e spegni sono riuscito a configurare il sistema operativo, ma all'avvio subito il primo ERRORE di explorer, seguito da quelllo di Drwtsn32.exe.
Ora, lentamente, sono riuscito a recuperare i dati (pur accendendo e rispegnedo più volte per ripetuti blocchi).
E' lecito pensare che si tratti di un problema hardware? oppure, forse, devo pensare ad un conflitto presente a seguito degli aggiornamenti che provoca gli errori e che non è stato risolto con il Riparo?

Nicodemo Timoteo Taddeo

08-06-2008, 09:53

Ehmmm... il tuo post ha ben poca attinenza con la sicurezza informatica temo. Ti suggerisco di scrivere nella sezione di competenza per il sistema operativo in oggetto.

Saluti.

xcdegasp

08-06-2008, 13:35

io sono invece convinto sia il portatile pieno di malware e quello che mi fa pensare questo è il periodo trascorso tra windows funzionante e aggiornamenti eseguiti.
Tempo sufficente per infettarlo :)

un pc con WindowsXP senza servicepack il tempo medio di resistenza a possibili infezioni è meno di 10 minuti, se è già installato il servicepack1 il tempo di resistenza sale a 20minuti (forse meno), se comprende il servicepack2 è al massimo di 30minuti.

da questa considerazione deduco che la causa dei tuoi male è qualche bel malware e ce ne sono parecchi di fastidiosi :)
quindi segui la semplice procedura descritta in Guida alla Disinfezione per Infetti (http://www.hwupgrade.it/forum/showthread.php?t=1599737) e pubblica tutti i log richiesti facendo attenzione alle Regole di Sezione, così potremmo aiutarti e ti sposterò inarea infezioni :)

altrimenti se preferisci posso spostarti in area notebook dove potrai chiedere pareri agli altri utenti utilizzatori del modello di notebook che possiedi, dimmi te :)

Nicodemo Timoteo Taddeo

08-06-2008, 15:28

io sono invece convinto sia il portatile pieno di malware e quello che mi fa pensare questo è il periodo trascorso tra windows funzionante e aggiornamenti eseguiti.
Tempo sufficente per infettarlo :)

un pc con WindowsXP senza servicepack

Un portatile acquistato nell'ottobre 2007 senza almeno l'SP2 e qualche altra i patch successiva ? :)

A meno che l'utente usi un CD XP made in MS, piuttosto che il DVD o set di Cd forniti dal produttore per il ripristino la vedo altamente improbabile.

Saluti.

xcdegasp

08-06-2008, 15:47

anche se avesse avuto il sp2 sarebbe bastato comunque poco tempo per reinfettarlo...
infatti come lo aveva infettato prima lo ha infettato dopo, ovviamente involontariamente :p

ogni notebook propone un utilissima utility per ripristinare, hp all'avvio scrive a monitor il tasto per accedere a questa funzione, in genere per hp basta premere F11 all'avvio :)
poi si procede come indicato a video e quello che esegue è formattazione della partizione c:\ e viene rigenerata l'immagine disco fatta in fabbrica
ovviamente sempre se la partizione d:\ non sia stata cancellata per liberare spazio disco :)

Episteme

08-06-2008, 15:50

La mia versione di windows è munita di SP2. Per di più, assieme al sistema operativo, nella partzione di ripristino contavo anche su Norton Anttivirus e Norton Internet Security, che una volta fatto il back up sono riuscito a riutilizzare ed aggiornare tranquillamente.
In più ho riformattato il computer, e non lo ho ancora connsso a internet, ma sembra avere ancara dei problemi: non riesco ad utilizzarlo per blocchi inpiegabili (ad esempio si blocca all'avvio del sistema operativo dopo aver fatto il bootstrapt).
Comincio a pensare seriamente che si tratti di un problema hardware: altrimenti come si potrebbe spiegare?
del resto i dvd di back up che uso per fare il ripristino
li masterizzai appena comprato il cpomputer prima di metterlo in rete e non penso che ciu possano essere errori infiltratoi nella partizione di ripristino.

wizard1993

08-06-2008, 15:57

xcdegasp

08-06-2008, 16:01

altamente insoddisfacente l'accoppiata antivirus e firewall... e questa è una delle cause, poi aggiungiamo InternetExplorer che non aiuta l'utente a bloccare l'esecuzione di javascript (oggetti eseguiti dal browser in modo silente senza controllo da parte dell'utente) che possono iniettare nel pc oggetti malevoli che appunto avviano l'infezione e fanno scaricare sempre in modo molto silenzioso altri malware..
l'aver un sistema operativo non aggiornato facilita queste "iniezioni di virus" inquanto sfrutta proprio queste carenze e carenze riguardanti software ritenuti marginali.. un esempio è acrobat reader che è ormai oggetti di queste particolari attenzioni per poter infettare i pc.

a dimostrazione di quanto scritto porto a portata di clik questi tre interessanti blog che seguono da tempo questeondate infettive:
http://edetools.blogspot.com/
e
http://maipiugromozon.blogspot.com/
e
http://www.pcalsicuro.com/main/

detto questo io procederei con la procedura di dsinfezione se sei daccordo :)

Episteme

08-06-2008, 18:54

Posso capire che ci siano dei malware che riescono a resistere al ripristino di windows, ma non dei malware in grado di resistere al back up che prevede una formattazione. Se così è vi prego di illuminarmi sull'argomento.
Questa sera cercherò di fare i test che mi consigliate anche se ho paura che con il computer in queste condizioni difficilmente riesca a connettermi alla rete o a scaricare dei programmi.
Devo comunque complimentarmi per la alta preparazione in materia.

wizard1993

08-06-2008, 18:58

Episteme

09-06-2008, 15:17

eccomi

Episteme

09-06-2008, 15:19

Come prevedevo sul mio computer nion sono risuscito ad iniziare la procedura di disinfezione per troppo frequenti bug. Esiste una soluzione? Non nascondo che sto pensando di portare il portatile inassistenza per vedere cosa riescono a far loro
Volevo poi dire che sto eseguendo la procedure di disinfezione consiglita a xcdegasp, sul computer che uso sin sostituzione del mio.
Appena termintato pubblicherò i log.
Vorrei complimentarmi con xcdegasp per la realizzazione della guida alla Disinfezione

xcdegasp

09-06-2008, 16:33

ti ho spostato nella sezione 2infezioni" così riusciamo a seguirti meglio. ti ho anche modificato il titolo con qualcosa di più comunicativo, spero non ti dispiaccia :)

su quel pc con frequenti schermate blu hai provato a fare le scansioni in modalità provvisoria? in ogni caso prova in modalità provvisoria a usare as-quared dalinea di comando ;)

Episteme

09-06-2008, 23:21

come faccio a sapere se il solitp ctfmon.exe è un trojan, un keylogger o il solito processo di windows se sto operando la disinfezione con HijackThis?
oppure come faccio a capire se alcuni processi nell'elenco dei programmi che vengono autocaricati dal registro o da esecuzione automatica sono dannosi o meno se non ve ne trovo traccia nel database oppure su google? ad esempio nfgnffm.exe

xcdegasp

10-06-2008, 00:12

hijackthis èuno di quei programmi che produce un log che nella sua apparente facilità richiede un minimo di dimestichezza con tali log..
noi siamo apposta qui per tradurti i log,tutti i log perchè per l'appunto ilog forniscono a noi i dati essenziali per trarre ipotesi eidee sulla risoluzione :)

Episteme

10-06-2008, 09:12

Io mando il log, seppure da solo, dopo aver consultato la guida lo ho analizzto ed ho eliminato un processo.
Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 9.10.42, on 10/06/2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programmi\Alwil Software\Avast4\aswUpdSv.exe
C:\WINDOWS\Explorer.EXE
C:\Programmi\Alwil Software\Avast4\ashServ.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\acs.exe
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\Programmi\Atheros\ACU.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\Programmi\Launch Manager\QtZgAcer.EXE
C:\WINDOWS\system32\keyhook.exe
C:\Programmi\a-squared Free\a2service.exe
C:\Programmi\Microsoft Office\Office12\GrooveMonitor.exe
C:\Programmi\Internet Explorer\iexplore.exe
C:\Programmi\Lexmark 7300 Series\ezprint.exe
C:\Programmi\Hewlett-Packard\OrderReminder\OrderReminder.exe
C:\WINDOWS\system32\ctfmon.exe
C:\WINDOWS\system32\drivers\CDAC11BA.EXE
C:\documents and settings\sara\impostazioni locali\dati applicazioni\ouukok.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\sistray.exe
C:\Programmi\Alwil Software\Avast4\ashMaiSv.exe
C:\Programmi\Alwil Software\Avast4\ashWebSv.exe
C:\WINDOWS\system32\lxcicoms.exe
C:\Programmi\Windows Live\Messenger\usnsvc.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Programmi\PrevxCSI\prevxcsi.exe

wjmat

10-06-2008, 09:47

Ciao, riedita cortesemente il tuo post caricando il log completo con la funzione gestisci allegati

Episteme

10-06-2008, 13:54

ok. Inserisco i log DI HiJackThis e gmer.

wjmat

10-06-2008, 14:09

I log non andrebbero zippati...

Lancia HiJackThis ► clicca Do a scan only ► metti la spunta a fianco delle righe che ti segnalo qui sotto ► clicca su Fix Checked ► Riavvia e nuovo log

O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Programmi\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [GrooveMonitor] "C:\Programmi\Microsoft Office\Office12\GrooveMonitor.exe"
O4 - HKLM\..\Run: [OrderReminder] C:\Programmi\Hewlett-Packard\OrderReminder\OrderReminder.exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKCU\..\Run: [nfgnffm] c:\documents and settings\sara\impostazioni locali\dati applicazioni\nfgnffm.exe nfgnffm
O4 - HKCU\..\Run: [ouukok] c:\documents and settings\sara\impostazioni locali\dati applicazioni\ouukok.exe ouukok
O4 - Startup: Ritaglio schermata e avvio di OneNote 2007.lnk = C:\Programmi\Microsoft Office\Office12\ONENOTEM.EXE

wizard1993

10-06-2008, 14:21

I log non andrebbero zippati...

te lo posso dire che sei un po' troppo pignolo?

wjmat

10-06-2008, 14:24

te lo posso dire che sei un po' troppo pignolo?
a me vanno benissimo zippati ;) è solo per rispettare le regole :D

Episteme

10-06-2008, 14:36

Devo zippare i log perchè la fuzione "gestisci allegati" non mi fa iserire inspiegabilmente i file di testo .txt.
Sono felice di comunicare chhePrev x non ha trovata alcuna infezione.
Ringrazio per la disponibilità

wjmat

10-06-2008, 14:55

posta anche il nuovo log di HJT che dobbiamo ancora segare questi, mi pare
c:\documents and settings\sara\impostazioni locali\dati applicazioni\nfgnffm.exe nfgnffm
c:\documents and settings\sara\impostazioni locali\dati applicazioni\ouukok.exe ouukok

xcdegasp

10-06-2008, 17:28

te lo posso dire che sei un po' troppo pignolo?

ci son state volte che come sorpresina lo zip conteneva un exe :D

Devo zippare i log perchè la fuzione "gestisci allegati" non mi fa inserire inspiegabilmente i file di testo .txt.
Sono felice di comunicare che Prevx non ha trovata alcuna infezione.
Ringrazio per la disponibilità

l'errore che ti dava era nelle dimensioni quindi non è inspiegabilmente :)

Episteme

11-06-2008, 15:53

no. il file che volevo sendare era nelle dimesioni limite(8kB). Ora non riesco a sendare il nuovo log chiestomi da wjmat. Messaggio "Invalid file", malgrado si tratti di un txt di 8kB.
Ora...una volta disinfettato il computer di sostituzione sono passato al mio. Come consigliatomi da xcdegasp hoi avviato windows in modalità provvisoria. Pare che così' nn si verifichino errori a meno che non si usi internet explorer oppure programmi che si appoggiano a iexplorer come messenger e wmp. Qualcuno riconosce questi sintomi?
Cmq ho istallato firefox e posso navigare tranquillamente. Eseguirò la disinfezione consigliata nella Guida ma temo che non riesca ad istallare alcuni dei tool da scaricare dato che in modalità provvisoria il non funziona windows istaller.

wizard1993

11-06-2008, 16:11

ci son state volte che come sorpresina lo zip conteneva un exe :D

e che c'è di meglio dell'esemplare del malware in questione da porter studiare sulla vm?

wjmat

11-06-2008, 16:47

Avvia da mod normale
Scarica Avenger da qui (http://swandog46.geekstogo.com/avenger.zip)
Lancialo → Clicca Ok → Incolla TUTTO il codice, che ti ho segnalato qui sotto, nel riquadro bianco del programma → Clicca su Execute
Attendi riavvio del pc. Se non si riavvia da solo fallo manualmente.
Al riavvio verrà salvato un log di Avenger. Postalo per vedere se la procedura ha funzionato.

Files to delete:
c:\documents and settings\sara\impostazioni locali\dati applicazioni\nfgnffm.exe
c:\documents and settings\sara\impostazioni locali\dati applicazioni\ouukok.exe

Guarda qui (http://www.hwupgrade.it/forum/showthread.php?t=1726383)al punto 4 e fai pulizia dei files inutili

Poi dimmi se funziona meglio

Episteme

11-06-2008, 18:46

in modalità normale non riesco ad eseguire alcun comando. appare la clessidra come se fosse in atto un processo pesantissimo.

wjmat

11-06-2008, 19:02

cos'è che riesci a fare allora??:mc:

Episteme

11-06-2008, 19:17

in modalità provvisoria riesco a fare quasi tutto: tranne utilizzare internet explorer. IN MODALITA' NORMALE NULLA

wjmat

11-06-2008, 20:20

non riesci a seguire la guida in provvisoria?

Episteme

11-06-2008, 20:28

F SECURE RICHIEDE EXPLORER CHE IO NON POSSO USARE. PER QUANTO RIGUARDA GLI ALTRI TOOL SEMBRA NON CI SIANO PROBLEMI

wizard1993

11-06-2008, 21:04

F SECURE RICHIEDE EXPLORER CHE IO NON POSSO USARE. PER QUANTO RIGUARDA GLI ALTRI TOOL SEMBRA NON CI SIANO PROBLEMI

fai allora una scansione con panda e trendmicro

wjmat

12-06-2008, 14:05

F SECURE RICHIEDE EXPLORER CHE IO NON POSSO USARE. PER QUANTO RIGUARDA GLI ALTRI TOOL SEMBRA NON CI SIANO PROBLEMI
se non puoi come da guida usa Kaspersky Virus Removal Tool che supporta la modalità provvisoria

xcdegasp

12-06-2008, 17:48

e che c'è di meglio dell'esemplare del malware in questione da porter studiare sulla vm?

in effetti ora che c'è il blog di supporto si potrebbe pensare di pubblicare analisi dei malware che identifichiamo in questa sezione..
specialemnte il metodo per disinfettare,non è così oneroso di volta in volta pubblicare un metodo di disinfezione :)

@ Episteme:
non c'è bisogno di usare il maiuscolo, basta appunto leggere meglio la guida pernon perdere la calma :)

Episteme

13-06-2008, 17:15

non usavo il maiuscolo perchè ero agitato...
Cmq...ho delle novità...come consigliatomi da wizard ho fatto le scansione con panda. Tuttavia, dopo ho riscontrato che in modalità provvisoria non si puo' fare la scansione con tredmicro ed allora sono ricorso a Ewido Malware Scan. Ad un certo punto, penso in fase di scansione, il computer si è riavviato e non sono più riuscito ad accenderlo (io comouter si riavviava continuaamente).
Allora sono ricorso ancora una volta al RIPARO con il dvd di back up.
Adesso riesco ad avvendere il computer. Come rpima però in modalità normale bo riesco ad eseguire alcun comando. Trall'altro sembra che l'errore di internet explorer che si presentava prima non si ripresenti più.
Potrebbe trattarsi come mi era stato consigliato di un maalware che riesce a resistere alla formattazione? adesso cmq invierò i log di HiJackThis e gmer.

Episteme

13-06-2008, 19:00

wizard1993

13-06-2008, 20:21

in effetti ora che c'è il blog di supporto si potrebbe pensare di pubblicare analisi dei malware che identifichiamo in questa sezione..
specialemnte il metodo per disinfettare,non è così oneroso di volta in volta pubblicare un metodo di disinfezione :)

Sono d'accordo

Episteme

13-06-2008, 21:59

non riesco in nessun modo a risolvere iln problema. Nenache l'avenger ha trovato rootkit. A questo punto rimangofortemente scoraggito. Se in nessun moido si trovano minaccie di cosa si puo' trattare?

xcdegasp

13-06-2008, 22:16

ecco i link per i log
http://wikisend.com/download/534882/gmrelog.log
http://wikisend.com/download/570898/hijackthis.log
http://wikisend.com/download/569236/SysInspector-PC188971014178-080613-1749.xml

Fixa subito:

O4 - HKLM\..\Run: [PININST] C:\SYSTEM.SAV\UTIL\PININST.EXE C:\SYSTEM.SAV\UTIL\PININST.INI
O4 - HKCU\..\Run: [MSMSGS] "C:\Programmi\Messenger\msmsgs.exe" /background

poi vai al link http://secunia.com/software_inspector/ e scansiona online il tuo, al termine ti notificherà tutti i programmi critici che sono obsoleti.
nel caso della java ricordati poi di disinstallare quella attuale, per quanto riguarda acrobat reader valuta la possibilità di sostituirlo con il più veloce, leggero e performante FoxitReader (http://www.foxitsoftware.com/pdf/rd_intro.php)

Episteme

17-06-2008, 13:12

Lo scan di secunia apparentemente non ha yrovato alcun malware. A questo punto ho deciso di effettuare il recupero con un cd di window( in questo caso non con i dvd di back up che avevo masterizzato appena coprato il computer, ma con un cd del sistema operativo). Il recupero si è improvvisamente bloccato con un avviso: ERRORI IRREVERSIBILI. Ho pensato che il malware era stato eliminato anche se non si erano ripristinati i file di registro.
A questo punto ho cancellata la partizione su cui era istallato il sistema operativo e ne ho ristallat5o uno nuovo. Poi, ho inserito i dvd di back up per ripristinare i8 driver. Adesso sembra che sia tutto risolto anche se non ho utilizzato in fondo il compurter.
Vi terrò informati sull'ewsito finale.

xcdegasp

17-06-2008, 13:21

tienici informati :)

Episteme

29-06-2008, 11:01

Avevo detto che vi avrei tenuti aggiorati. Ok...
Il mio computer dopo la formattazione ha funzionato alla perfezione...Ho usato quale antivirus il Norton fornitomi con in sistema operativo e presente nel disco di Back up (ovviamente ho effettuato gli aggiornamenti).
Tutto è funzionato fino a quando ieri sera il primo errore dovuto ad un problema di trascrizione dati sull'Hard Disk.
A questo punto, insospettito, ho pensato di effettuare la procedura di disinfezione...istallando i tool nella sequenza indicata.
Una volta arrivato a Dr Web ho mandato la scansione e sono andato a letto. QUesta mattina il computer era in stand by. L'ho avviato e non andava...allora ho chiuso i programmi e ho riavviato...all'avvio windows mi notificava l'assenza di un file di sistema (io ho pensato si trattasse di qualche file spostato dagli antmalware perchè infetto) .
Ho eseguito la riparazione con il disco di back up...ma non ce nulla da fare....mi toccherà formattare cancellando la partizone come feci al tempo...

xcdegasp

29-06-2008, 19:50

purtroppo non so cosa sia realmente successo al tuo pc ad ogni modo ho la quasi ecrtezza che si sia riavviato a causa di un bsod e se è risuccesso forse è qausi certo che sia quel antivirus a causare questi sintomi, magari identificando come infetti driver o file essenziali di windows..
non posso nemmeno escludere che siano i tool proposti ma saresti il primo dopo migliaia di utenti e prove eseguite sul campo, ad ogni modo un caso da studiare con molto interesse :)

Episteme

30-06-2008, 10:23

Posso dire, per esperienza che spesso gli antivirus individuano come infetti dei file di sistema, e quindi, anche la quarantena di questi file, provoca il malfunzionamento: due mesi fa, installato avg professional su un computer infetto sono incappato in un caso simile: come in questo caso al riavvio del computer, dopo la scansione, windows notificava l'assenza di un file di registro.
Anche se quello che mi è successo adesso è ancora più strano...
se riesco a recuperare i log ve li sendo. Quello che è sicuro è che il norton che avevo non mi aveva identificato una marea di malware che invece A- squared ed F-secure hanno subito identificato.
A quetso quento mi chiedo come mai la Sysmatec risulti "arretrata" negli aggiornameti rispetto ad una casa minore come la Emsi, che, tra l'altro, offre un servizio gratuito

xcdegasp

01-07-2008, 18:19

io però cestio l'antivirus che icappa inquesti gravi errori e avg nonènuovo a questi orribili errori appuntocome dimostrano anche le tue prove :)
per fortuna non tutte le software house lavoro in questa maniera quindi si puòtirare un sospiro di sollievo...
La emsi non è poi così tanto inferiore nel senso che in ambito antispyware è una di quelle più famose e f-secure si appoggia akaspersky...
labontà di un antivirus sta anche a supplire a carenze di firme viralicosì da colmare quei grossi buchi che hai illustrato :)

putroppo ce ne sono molti di antivirus che non riesconoad adempiere alloro dovereemibaso sugli utenti che hanno chiesto qui assistenza, ed altri che lo compiono molto bene anche con prodotti rilasciati in forma free e non è solo il caso di a-squared ma anche dell'efficentissimo Avira che mi ha stupito veramente qualche giorno fa..