Aiuto urgente, connessione impazzita, svchost.exe

[CONFITEOR]

Da un paio di giorni avevo difficoltà a navigare, le pagine del forum non si aprivano completamente, così come i filmati di you tube,

col programma TCPwiev di sysinternals, ho visto migliaia di connessioni, prevalentemente UDP, prevalentemente del processo svchost.exe.

Ho allora trovato un falso svchost.exe in system32/32(quello vero è in system32), e che nei processi era sotto il mio utente e non sotto system

l'ho cancellato, così come tutte le chiavi di registro che lo riguardavano,
riconnettendomi le connessioni mostrate erano di meno, ma col tempo sono tornate a essere migliaia,
anche peer guardian mi mostra tante connessioni 'allowed'

winxp col firewall di windows

[Gle89]

ciao,

segui la Guida alla disinfezione (http://www.hwupgrade.it/forum/showthread.php?t=1599737) e alla fine allega tutti i log richiesti (nelle modalità espresse nelle regole di sezione (http://www.hwupgrade.it/forum/showthread.php?t=1751598)) cosi potremo darti una mano!;)

N.B. il firewall di xp non è proprio il massimo, bisognerà che alla fine della disinfezione tu ne installi uno più appropriato come Online Armor o Comodo.

[CONFITEOR]

fortunatamente sto su una installazione provvisoria, ma vorrei risolvere se mi si ripresentasse il problema...

non c'è nessun aiuto 'pronto' per svchost.exe? :D

[CONFITEOR]

ho trovato questo

"smtp e vschost
Ciao a tutti, ho davanti il seguente problema:
subito dopo boot e avvio di un windows XP Pro SP2 il traffico in uscita
cresce a dismisura.
Un "netstat -a" rileva decine o centinaia di connessioni a server remoti con
porta remota smtp (praticamente il pc del malcapitato stà sparando email al
mondo intero).
Con "netstat -ao" ottengo il PID del processo incriminato, poi un bel
Ctrl-Alt-Canc per lanciare il Task Manager, Visualizza/SelezionaColonne,
spunto la casella PID, e scopro che è svchost.exe , o meglio dei cinque o
sei svchost sempre presenti tra i processi attivi.
Ammazzo quello incriminato, e tutto ritorna alla normalità per una
mezzoretta (a volte anche meno), poi ripartono le email, e si deve ripetere
la cura (individuare il processo, o meglio il suo PID e ammazzare l'istanza
di vschost incriminata, solo quella!).
Da notare che:
Il PC è aggiornato (parlo di Microsoft Update);
AVG Grisoft non rileva nulla (No threats found)
F-Secure non rileva nulla.
Alcune scansioni online (tra cui CA, Housecall) non rilevano nulla."
http://www.nntp.it/comp-sicurezza-virus/816904-smtp-e-vschost.html

[CONFITEOR]

ho seguito il procedimento,

netstat -ao

il pid di svchost con le tante connessioni era 1104

ho terminato quel processo

quindi mi è apparso il 'system shutdown in 60 seconds'
e ho fatto run shutdown -a

ora le connessioni sono normali e le pagine di explorer si completano,

per ora......

[CONFITEOR]

il trojan in svchost.exe è Dldr.Small

rimosso, asquared non trova più nulla, ma la connessione non mi sembra tornata normale...

[wjmat]

se non segui la guida che ti è stata consigliata e non vediamo log, difficilmente possiamo capirci qualcosa ;)

[CONFITEOR]

se non segui la guida che ti è stata consigliata e non vediamo log, difficilmente possiamo capirci qualcosa ;)hai ragione, ma siccome per me è una cosa nuova cercavo di semplificare sperando fosse un problema ben conosciuto,

cmq ho eseguito asquared che non mi ha trovato nulla.

il problema si ripresenta, e posso farvi fronte solo chiudendo il processo svchost relativo al servizio Utilità di avvio processo server DCOM,

altrimenti quel svchost mi stabilisce migliaia di connessioni

[wjmat]

non basta a-squared purtroppo... la guida potrà sembrare lunga ma alla fine risolve al 100% dei casi
vedi tu che fare ;)

[CONFITEOR]

mi sembra di aver risolto sostituendo il file hosts con una nuova copia,

il vecchio era quello moddato dalla patch di winmx

hio reinstallato la patch, ma una diversa mi pare, quella vecchia che mi dava problemi era quella di Sabre, non so se originariamente o perchè un virus l'aveva cambiata.

[wjmat]

se ti sembra di essere a posto (non vedendo tutti i log non possiamo garantirti nulla)
dai un'occhiata al trattamento di prevenzione / post disinfezione (http://www.hwupgrade.it/forum/showthread.php?t=1726383), ti aiuta a verificare la configurazione di sicurezza del tuo pc, aggiornare programmi vulnerabili obsoleti ed eliminare eventuali residui inutili dei programmi utilizzati nelle guide