Gmer si blocca improvvisamente

[endimen]

Inizialmente avevo chiesto aiuto perchè il pc non riesce ad installare alcuni aggiornamenti di windows, in particolare compare il messaggio:

Impossibile installare alcuni aggiornamenti
I seguenti aggiornamenti non sono stati installati:
Microsoft .NET Framework 3.5 Service Pack 1 e .NET Framework 3.5 Family Update per .NET, dalla versione 2.0 alla 3.5 (KB951847) x86

Ho postato il log di HijackThis, ho poi fixato le voci suggerite ed ho quindi avviato la procedura di disinfezione. Dopo ore e ore di scansione dei programmi descritti nella guida (drweb cureIT ne ha impiegate quasi 20!), durante le quali sono stati rilevati vari elementi infetti, il percorso si è fermato mentre stava operando già da 3 ore Gmer, bloccatosi improvvisamente con conseguente arresto del sistema. Ho fatto a tempo a leggere sullo sfondo blu che si è interrotto a causa del file uwliqaob.sys.
Ecco i log delle scansioni effettuate:

http://wikisend.com/download/968922/a2scan_091118-150205.txt
http://wikisend.com/download/859960/mbam-log-2009-11-18 (14-01-48).txt
http://wikisend.com/download/458282/Online Scanner - Scanning Report - Thursday, November 19, 2009 212605.txt
http://wikisend.com/download/906842/cureit filtrato.txt
http://wikisend.com/download/954990/SysInspector-ANDREALICE-091123-1528.xml
http://wikisend.com/download/522620/hijackthis23-11.log

Spero di aver fatto tutto correttamente, grazie per la collaborazione.

[wjmat]

ciao

riprova gmer, se salta prova al versione precedente che trovi nella pagina di download del sito

Lancia HiJackThis -> Clicca Do a scan only -> Metti la spunta a fianco delle righe che ti segnalo qui sotto -> Clicca su Fix Checked
Riavvia il pc -> Lancia HiJackThis -> Do a system scan and save a logfile
Controlla che tutte le voci fixate siano sparite altrimenti carica il nuovo log rinominato in .txt con la funzione Gestisci allegati che trovi nelle Opzioni aggiuntive o cliccando sull'icona del fermaglio (http://www.hwupgrade.it/forum/images_hwu/editor/attach.gif)

_______________________________________________________________________________
Tutte le eventuali voci O4 fixate non cancellano i programmi ma semplicemente evitano che questi partano in automatico inutilmente, rallentando l'avvio del sistema.
Di default segnalo sempre i programmi di messaggistica, ma se li ritieni strettamente necessari non fixarli.
Se hai installato toolbar varie (google, yahoo, ask ecc.) e non le usi disinstallale pure nel modo classico.
Le eventuali voci O16 dovranno essere fixate con IE chiuso.
Eventuali voci che ti segnalo, che invece hai impostato tu o che comunque conosci e provengono da fonti sicure, lasciale se le ritieni veramente importanti.
¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯
Logfile of Trend Micro HijackThis v2.0.2
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v8.00 (8.00.6001.18702)


O4 - HKLM\..\Run: [PinnacleDriverCheck] C:\WINDOWS\system32\PSDrvCheck.exe -CheckReg
O4 - HKLM\..\Run: [CloantoSoftwareManager] "C:\Programmi\File comuni\Cloanto\Software Manager\softmngr.exe" /s
O4 - HKLM\..\Run: [CleanEasyImg] c:\apps\easydvd\cleanall.exe
O4 - HKLM\..\Run: [VCSPlayer] "C:\Program Files\Virtual CD v4 SDK\system\vcsplay.exe"
O4 - HKLM\..\Run: [Ulead AutoDetector v2] C:\Programmi\File comuni\Ulead Systems\AutoDetector\monitor.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programmi\QuickTime\qttask.exe" -atboottime
O4 - HKCU\..\Run: [LaunchList] C:\Programmi\Pinnacle\Studio 11\LaunchList2.exe
O4 - HKCU\..\Run: [BitTorrent DNA] "C:\Programmi\DNA\btdna.exe"
O16 - DPF: {20A60F0D-9AFA-4515-A0FD-83BD84642501} (Checkers Class) - http://messenger.zone.msn.com/binary/msgrchkr.cab56986.cab
O16 - DPF: {22492231-AEF0-49FC-9180-CE8969AB1273} (F-Secure Online Scanner Launcher) - http://download.sp.f-secure.com/ols/f-secure-rtm/resources/fslauncher.cab
O16 - DPF: {30528230-99f7-4bb4-88d8-fa1d4f56a2ab} (YInstStarter Class) - C:\Programmi\Yahoo!\Common\yinsthelper.dll
O16 - DPF: {56762DEC-6B0D-4AB4-A8AD-989993B5D08B} (OnlineScanner Control) - http://www.eset.eu/buxus/docs/OnlineScanner.cab
O16 - DPF: {5AE58FCF-6F6A-49B2-B064-02492C66E3F4} (MUCatalogWebControl Class) - http://catalog.update.microsoft.com/v7/site/ClientControl/en/x86/MuCatalogWebCon trol.cab?1207928445781
O16 - DPF: {5D6F45B3-9043-443D-A792-115447494D24} (UnoCtrl Class) - http://messenger.zone.msn.com/IT-IT/a-UNO1/GAME_UNO1.cab
O16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} (BDSCANONLINE Control) - http://download.bitdefender.com/resources/scan8/oscan8.cab
O16 - DPF: {BDBDE413-7B1C-4C68-A8FF-C5B2B4090876} (F-Secure Online Scanner 3.3) - http://support.f-secure.com/ols/fscax.cab
O16 - DPF: {C3F79A2B-B9B4-4A66-B012-3EE46475B072} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsPAClient.cab56907.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab
O16 - DPF: {F5A7706B-B9C0-4C89-A715-7A0C6B05DD48} (Minesweeper Flags Class) - http://messenger.zone.msn.com/binary/MineSweeper.cab56986.cab


non si vede o è disattivato il firewall
manca il log di prevx

[endimen]

Ciao, innanzi tutto, grazie dell'aiuto.
Finalmente Gmer ha concluso la scansione.
Allego anche il log della scansione di Prevx, che ha riscontrato un'infezione: come la eliminiamo?
Windows firewall dovrebbe essere attivo.
Ho riprovato a reinstallare gli aggiornamenti di windows, ma... niente da fare.

http://wikisend.com/download/563106/gmer_log.txt
http://wikisend.com/download/490182/prevx24-11.txt

[wjmat]

penso sia un falso positivo ma per sicurezza fai controllare su www.virustotal.com e su http://virscan.org/
c:\programmi\google\google gears\firefox\crash_sender.exe


Una volta sui siti clicca su sfoglia -> cerca i file -> conferma -> Clicca Invia o Upload e attendi l'esito.
Per mostrarci gli esiti, alla fine delle scansioni copia gli indirizzi di entrambe le pagine con i risultati e incollali nella discussione
Se ti verrà segnalato che il file è già stato controllato, fallo analizzare comunque perchè le firme virali dei vari motori di scansione potrebbero essere stati aggiornati.

Se non dovessi trovare il file abilita la visualizzazione dei files nascosti / di sistema (http://www.hwupgrade.it/forum/showpost.php?p=25063497&postcount=39)

[Chill-Out]

Impossibile installare alcuni aggiornamenti
I seguenti aggiornamenti non sono stati installati:
Microsoft .NET Framework 3.5 Service Pack 1 e .NET Framework 3.5 Family Update per .NET, dalla versione 2.0 alla 3.5 (KB951847) x86

dovrebbe rilasciare anche un codice di errore, importante per capire dove indirizzarti.

[endimen]

Ecco i link:

http://www.virustotal.com/it/analisis/09bef7fc159c285609ad6ffca0139fbbf0e1b9c43a21166cc08ad47d4d785fdb-1255080701

http://virscan.org/report/e8541b64f8b1bb1cbd8e955aa9dfd4d2.html

Per quanto riguarda gli aggiornamenti di windows, la situazione è cambiata, nel senso che mentre prima in basso a destra era sempre presente l'icona a forma di scudo giallo pronta ad installare gli aggiornamenti che dicevo, senza però riuscirci rilasciando il messaggio:

Impossibile installare alcuni aggiornamenti
I seguenti aggiornamenti non sono stati installati:
Microsoft .NET Framework 3.5 Service Pack 1 e .NET Framework 3.5 Family Update per .NET, dalla versione 2.0 alla 3.5 (KB951847) x86

Dove non compariva, però, che io ricorda, nessun numero d'errore. Adesso quell'icona non c'è più, ho provato a lanciare windows update manualmente, ma dopo che ho premuto sul tasto d'opzione "installazione rapida" è comparso il messaggio:

Impossibile visualizzare la pagina richiesta a causa di un errore.

Il numero stavolta c'è: 0x80070006

[endimen]

ATTENZIONE! GROSSA NOVITA'


Il pc non si spegne più!
Non risponde sia che scelga o no l'opzione di spegnimento senza installazione degli aggiornamenti. :muro:

[wjmat]

forza lo spegnimento
Start -> esegui -> digita cmd e batti invio -> nel prompt digita shutdown -f
e vediamo poi al successivo riavvio

[endimen]

OK, lo spegnimento l'avevo già forzato tenendo tenuto per 5 secondi il pulsante d'accensione (spero vada bene lo stesso). Dopo il riavvio funziona di nuovo lo spegnimento da start-spegni computer-ecc.
Funziona di nuovo anche windows update, ho clickato sul tasto aggiornamento rapido, ho atteso la ricerca ed ecco che mi dice che c'è disponibile il solito cavolo d'aggiornamento a priorità alta che però non si riesce ad installare.
In verità, se non è vitale, farei anche a meno d'installarlo, il fatto è che c'è sempre sto messaggio in mezzo che rompe continuamente.
Ecco la pagina della risposta di windows update:


windows update.jpg (http://wikisend.com/download/970744/windows update.jpg)

[wjmat]

quando esce lo scudo giallo se clicchi col dx e vedi gli aggiornamenti in attesa di installazione puoi togliere la spunta e impostare che non sia più chiesto il download di quello specifico aggiornamento

altrimenti cerca dettagli su come aggiornare manualmente quel componente

[endimen]

per quanto riguarda il resto, ehm... sono guarito? ci sarebbe ancora quel file avvirussato in giro...

[wjmat]

analizza crash_sender.exe su virscan anche se dovrebbe essere un falso positivo

[endimen]

avevo già postato i risultati ieri, rieccoli:

http://www.virustotal.com/it/analisis/09bef7fc159c285609ad6ffca0139fbbf0e1b9c43a21166cc08ad47d4d785fdb-1255080701

http://virscan.org/report/e8541b64f8b1bb1cbd8e955aa9dfd4d2.html

[wjmat]

quello su virscan non è il file che ti ho chiesto e vorrei sapere da dove arriva

[endimen]

beh, ho riprovato dopo aver attentamente controllato il percorso e questo è il risultato (mi sembra uguale):

http://virscan.org/report/e8541b64f8b1bb1cbd8e955aa9dfd4d2.html

[wjmat]

io vedo che hai caricato
File Name : 1.html

[endimen]

il nome del file effettivamente non è quello, però ti assicuro che ho caricato crash_sender.exe, confermato da virscan durante la scansione, eppure il risultato che dà è quello. che mistero è?

[wjmat]

se google gears proviene da fonti ufficiali penso sia un file buono
quanto a virscan magari hanno problemi sul sito, infatti su virustotal è palesemente un file buono

[endimen]

Ho risolto il problema dell'aggiornamento non riuscito!

Prima ho disinstallato tutti i .net framework esistenti, poi ho installato l'ultima versione, la 3.5 (che contiene anche le precedenti tranne la 1.1), quindi ho aggiornato con successo.

Grazie wjmat per la pazienza e l'aiuto. :mano: