[Win7] Desktop vuoto, non posso fare NULLA

[gargamella75]

Credo proprio di essermi beccato un virus...a meno che non si sia danneggiato Win 7, ma non credo, propendo di più per il virus.
Sintomi: tutto sembra funzionare normalmente, ma all'improvviso, dopo un tempo variabile di uso, tutti i programmi si chiudono e Win ritorna al desktop, ma senza icone e senza la possibilità di fare nulla (tasto dx, task manager, CTRL+ALT+CANC, nulla di nulla!), posso solo resettare oppure aspettare che entri la sospensione e allora accedendo di nuovo riprendo il controllo (ovviamente tutto quello che stavo facendo prima è perso).

Che posso fare? Ho provato con le scansioni (ho Kaspersky installato, ma ho provato anche quelle online), ma non riesco mai a finirne una!!! :cry:

:help:

[gargamella75]

Per chiarire meglio, ho fatto delle prove.
In modalità provvisoria il problema non si presenta, e sono anche riuscito a fare delle scansioni (non so più quanti AV ho installato...), ho trovato un bel po' di roba, ho rimosso tutto, ma il problema rimane. :cry:

Non so più che fare, ho fatto decine di scan con hijackthis, e non mi sembra (nel mio piccolo) di vedere nulla di anomalo. Tanto che si sta facendo strada in me l'idea che possa essersi danneggiato Win7. :muro:
Opinioni in proposito?
:help: :help: :help:

[gargamella75]

Mi uppo da solo! :D

In realtà oggi ci ha sbattuto anche il mio Admin, ma ancora nulla.

Però è venuto fuori qualche ulteriore indizio: verificando il log degli eventi di Kaspersky ho notato che l'arresto improvviso è causato dal processo lsm.exe che parte e mi chiude tutte le applicazioni (tranne kaspersky stesso che rimane attivo), provando a disconnettere l'utente.

Come posso fare a capire chi lo fa partire??? Esiste un tool che monitora i processi in esecuzione e che mi avvisi appena un nuovo processo si innesca?

[PRS]

1-Hai tentato uno scandisk?
2-Non devi fare scansioni con AV,ma con antispyware(a- squared,malwarebytes ecc)
3-Per monitorare i processi dovresti aver installato un firewall.Potrebbe anche essere un'idea.In tal caso ti consiglio Online Armor (http://www.online-armor.com/downloads.php)

[gargamella75]

Grazie per i consigli. :)

Lo scandisk mi manca, proverò.

Ora ho scaricato tutti i software di cui parla la guida, vedrò di seguire tutta la procedura nei dettagli, anche se lo dovrò fare in modalità provvisoria (scusate se ho postato nell'altro thread).

Per la cronaca, mi son preso lo sfizio di guardarmi il visualizzatore di eventi di windows, ora non ce l'ho sottomano ma grosso modo succede questo al momento del fattaccio: nel sottomenu Applicazioni risulta un crash di winlogon.exe causato da un errore in ntdll.dll; poi winlogon.exe riparte. Nel tab Sicurezza invece si verifica un Accesso Speciale da parte di un utente sconosciuto con privilegi particolari (c'è una sfilza di una decina di parole difficili da ricordare :D relative a questi privilegi). E successivamente c'è la disconnessione del mio account utente. Purtroppo ora non ce l'ho sottomano, ma cercherò di postarvi il dettaglio di tutti questi eventi.

[PRS]

Non so se augurarti che ntdll sia un componente Microsoft o no.Vedi QUI (http://ita.tallemu.com/oasis2/search/file/ntdll_dll).Anche winlogon può essere un processo malevolo...

[gargamella75]

Grazie del link e dell'aiuto, appena riesco a capire il modo migliore per farlo, cerco di postare la squenza esatta degli eventi di windows. :)

[gargamella75]

Aggiorno (per cultura) su come si è evoluta la situazione:
di comune col mio aministratore, abbiamo deciso di formattare la macchina (sigh), principalmente perchè abbiamo notato i continui tentativi di connessione ad un server russo che nei mesi scorsi ci ha dato diverse rogne, addirittura si è giunti alla richiesta della polizia postale dell'HD incriminato, quindi per prevenire rogne serie non ci abbiamo pensato due volte ed abbiamo piallato tutto il piallabile. :D
Questa volta hanno vinto loro... :mad:

[lancetta]

Mi ricordava una vecchia infezione rootkit che su xp si attaccava al winlogon e sostituiva il processo "explorer exe" nella shell con uno simile ma che partiva dal "image file execution"..in questo modo con la grafica del pc partiva anche la bestiolina..
Dovrebbe esserci ancora la discussione qui sul forum...
Sarà per la prossima volta, però ti consiglierei di "corazzare" un pò il pc..ci sono tante interessanti discussioni qui sul forum al riguardo.

Saluti
:cool: