Strane cartelle con caratteri cinesi che si creano da sole

[aletlinfo]

Buongiorno vi chiedo aiuto per risolvere questo strano mistero che ho su un pc Compaq 8000 Elite SFF con windows 7 pro 64bit e hard disk Seagate SSHD ST2000DX001 2TB

Questo pc apparentemente pulito e integro da circa 1 mese senza un motivo apparente in modo casuale e saltuario mentre ci si lavora crea da solo cartelle con caratteri cinesi o comunque strani. Le cartelle sono sempre vuote e si cancellano o spostano senza problemi.

http://i.imgur.com/JAWYWoE.png

Aggiungo che il pc è stato controllato a fondo: Non vi sono virus o software strani, non vi sono problemi con l'HD controllato con seatools sono state fatte scansioni con cd drweb e scansioni antivirus online e passati superantispyware, malwarebytes e combofix.

Qualcuno mi sa indicare come individuare la causa del problema?

allego anche log hijackthis

Logfile of Trend Micro HijackThis v2.0.5
Scan saved at 09:30:07, on 23/05/2016
Platform: Windows 7 SP1 (WinNT 6.00.3505)
MSIE: Internet Explorer v11.0 (11.00.9600.18315)


Boot mode: Normal

Running processes:
C:\Program Files (x86)\AnyDesk\AnyDesk.exe
C:\Program Files (x86)\Cobian Backup 11\cbInterface.exe
C:\Program Files (x86)\Citrix\ICA Client\concentr.exe
C:\Program Files (x86)\Citrix\ICA Client\redirector.exe
C:\Program Files (x86)\Common Files\Java\Java Update\jusched.exe
C:\Program Files (x86)\Common Files\Adobe\ARM\1.0\AdobeARM.exe
C:\Program Files (x86)\Citrix\Receiver\Receiver.exe
C:\Program Files (x86)\Citrix\SelfServicePlugin\SelfServicePlugin.exe
C:\Program Files (x86)\Citrix\ICA Client\wfcrun32.exe
C:\Program Files (x86)\Common Files\Java\Java Update\jucheck.exe
C:\Program Files (x86)\Google\Chrome\Application\chrome.exe
C:\Program Files (x86)\Google\Chrome\Application\chrome.exe
C:\Program Files (x86)\Google\Chrome\Application\chrome.exe
C:\Program Files (x86)\Google\Chrome\Application\chrome.exe
C:\Program Files (x86)\Internet Explorer\IEXPLORE.EXE
C:\Users\Angelo\Downloads\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page =

http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL =

http://go.microsoft.com/fwlink/p/?LinkId=255141
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL =

http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page =

http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page =

http://go.microsoft.com/fwlink/p/?LinkId=255141
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = C:\Windows

\SysWOW64\blank.htm
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =
O2 - BHO: Java(tm) Plug-In SSV Helper - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} -

C:\Program Files (x86)\Java\jre1.8.0_40\bin\ssv.dll
O2 - BHO: Adobe PDF Conversion Toolbar Helper - {AE7CD045-E861-484f-8273-

0445EE161910} - C:\Program Files (x86)\Common Files\Adobe\Acrobat\ActiveX

\AcroIEFavClient.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} -

C:\Program Files (x86)\Java\jre1.8.0_40\bin\jp2ssv.dll
O2 - BHO: SmartSelect - {F4971EE7-DAA0-4053-9964-665D8EE6A077} - C:\Program Files

(x86)\Common Files\Adobe\Acrobat\ActiveX\AcroIEFavClient.dll
O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - C:\Program Files

(x86)\Common Files\Adobe\Acrobat\ActiveX\AcroIEFavClient.dll
O4 - HKLM\..\Run: [Adobe Acrobat Speed Launcher] "C:\Program Files (x86)\Adobe

\Acrobat 9.0\Acrobat\Acrobat_sl.exe"
O4 - HKLM\..\Run: [Cobian Backup 11 interface] "C:\Program Files (x86)\Cobian

Backup 11\cbInterface.exe" -service
O4 - HKLM\..\Run: [ConnectionCenter] "C:\Program Files (x86)\Citrix\ICA Client

\concentr.exe" /startup
O4 - HKLM\..\Run: [Redirector] "C:\Program Files (x86)\Citrix\ICA Client

\redirector.exe" /startup
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files (x86)\Common Files\Java

\Java Update\jusched.exe"
O4 - HKLM\..\Run: [Adobe ARM] "C:\Program Files (x86)\Common Files\Adobe\ARM

\1.0\AdobeARM.exe"
O4 - HKLM\..\Run: [StartCCC] "C:\Program Files (x86)\AMD\ATI.ACE\Core-Static

\amd64\CLIStart.exe" MSRun
O4 - Global Startup: AnyDesk.lnk = C:\Program Files (x86)\AnyDesk\AnyDesk.exe
O8 - Extra context menu item: Aggiungi a PDF esistente - res://C:\Program Files

(x86)\Common Files\Adobe\Acrobat\ActiveX\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: Converti destinazione link in Adobe PDF - res://C:

\Program Files (x86)\Common Files\Adobe\Acrobat\ActiveX

\AcroIEFavClient.dll/AcroIECaptureSelLinks.html
O8 - Extra context menu item: Converti destinazione link in PDF esistente -

res://C:\Program Files (x86)\Common Files\Adobe\Acrobat\ActiveX

\AcroIEFavClient.dll/AcroIEAppendSelLinks.html
O8 - Extra context menu item: Converti in Adobe PDF - res://C:\Program Files

(x86)\Common Files\Adobe\Acrobat\ActiveX\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:

\PROGRA~2\MICROS~1\Office14\EXCEL.EXE/3000
O9 - Extra button: Ricerche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:

\PROGRA~2\MICROS~1\OFFICE11\REFIEBAR.DLL
O11 - Options group: [ACCELERATED_GRAPHICS] Accelerated graphics
O18 - Filter: application/x-ica - {CFB6322E-CC85-4d1b-82C7-893888A236BC} - C:

\Program Files (x86)\Citrix\ICA Client\IcaMimeFilter.dll
O18 - Filter: application/x-ica; charset=euc-jp - {CFB6322E-CC85-4d1b-82C7-

893888A236BC} - C:\Program Files (x86)\Citrix\ICA Client\IcaMimeFilter.dll
O18 - Filter: application/x-ica; charset=ISO-8859-1 - {CFB6322E-CC85-4d1b-82C7-

893888A236BC} - C:\Program Files (x86)\Citrix\ICA Client\IcaMimeFilter.dll
O18 - Filter: application/x-ica; charset=MS936 - {CFB6322E-CC85-4d1b-82C7-

893888A236BC} - C:\Program Files (x86)\Citrix\ICA Client\IcaMimeFilter.dll
O18 - Filter: application/x-ica; charset=MS949 - {CFB6322E-CC85-4d1b-82C7-

893888A236BC} - C:\Program Files (x86)\Citrix\ICA Client\IcaMimeFilter.dll
O18 - Filter: application/x-ica; charset=MS950 - {CFB6322E-CC85-4d1b-82C7-

893888A236BC} - C:\Program Files (x86)\Citrix\ICA Client\IcaMimeFilter.dll
O18 - Filter: application/x-ica; charset=UTF-8 - {CFB6322E-CC85-4d1b-82C7-

893888A236BC} - C:\Program Files (x86)\Citrix\ICA Client\IcaMimeFilter.dll
O18 - Filter: application/x-ica; charset=UTF8 - {CFB6322E-CC85-4d1b-82C7-

893888A236BC} - C:\Program Files (x86)\Citrix\ICA Client\IcaMimeFilter.dll
O18 - Filter: application/x-ica;charset=euc-jp - {CFB6322E-CC85-4d1b-82C7-

893888A236BC} - C:\Program Files (x86)\Citrix\ICA Client\IcaMimeFilter.dll
O18 - Filter: application/x-ica;charset=ISO-8859-1 - {CFB6322E-CC85-4d1b-82C7-

893888A236BC} - C:\Program Files (x86)\Citrix\ICA Client\IcaMimeFilter.dll
O18 - Filter: application/x-ica;charset=MS936 - {CFB6322E-CC85-4d1b-82C7-

893888A236BC} - C:\Program Files (x86)\Citrix\ICA Client\IcaMimeFilter.dll
O18 - Filter: application/x-ica;charset=MS949 - {CFB6322E-CC85-4d1b-82C7-

893888A236BC} - C:\Program Files (x86)\Citrix\ICA Client\IcaMimeFilter.dll
O18 - Filter: application/x-ica;charset=MS950 - {CFB6322E-CC85-4d1b-82C7-

893888A236BC} - C:\Program Files (x86)\Citrix\ICA Client\IcaMimeFilter.dll
O18 - Filter: application/x-ica;charset=UTF-8 - {CFB6322E-CC85-4d1b-82C7-

893888A236BC} - C:\Program Files (x86)\Citrix\ICA Client\IcaMimeFilter.dll
O18 - Filter: application/x-ica;charset=UTF8 - {CFB6322E-CC85-4d1b-82C7-

893888A236BC} - C:\Program Files (x86)\Citrix\ICA Client\IcaMimeFilter.dll
O18 - Filter hijack: ica - {CFB6322E-CC85-4d1b-82C7-893888A236BC} - C:\Program

Files (x86)\Citrix\ICA Client\IcaMimeFilter.dll
O23 - Service: @%SystemRoot%\system32\Alg.exe,-112 (ALG) - Unknown owner - C:

\Windows\System32\alg.exe (file missing)
O23 - Service: AMD External Events Utility - Unknown owner - C:\Windows

\system32\atiesrxx.exe (file missing)
O23 - Service: AnyDesk Service (AnyDesk) - Unknown owner - C:\Program Files

(x86)\AnyDesk\AnyDesk.exe
O23 - Service: Behavior Detection System - Quick Heal Technologies (P) Ltd. - C:

\Program Files\Quick Heal\Quick Heal Total Security\bdssvc.exe
O23 - Service: Cobian Backup 11 Servizio Volume Shadow Copy (cbVSCService11) -

CobianSoft, Luis Cobian - C:\Program Files (x86)\Cobian Backup

11\cbVSCService11.exe
O23 - Service: Cobian Backup 11 Gravity (CobianBackup11) - Luis Cobian, CobianSoft

- C:\Program Files (x86)\Cobian Backup 11\cbService.exe
O23 - Service: Core Mail Protection - Quick Heal Technologies (P) Ltd. - C:\Program

Files\Quick Heal\Quick Heal Total Security\EMLPROXY.EXE
O23 - Service: Core Scanning Server - Quick Heal Technologies (P) Ltd. - C:\Program

Files\Quick Heal\Quick Heal Total Security\SAPISSVC.EXE
O23 - Service: Core Scanning ServerEx - Quick Heal Technologies (P) Ltd. - C:

\Program Files\Quick Heal\Quick Heal Total Security\SAPISSVC.EXE
O23 - Service: @%SystemRoot%\system32\efssvc.dll,-100 (EFS) - Unknown owner - C:

\Windows\System32\lsass.exe (file missing)
O23 - Service: @%systemroot%\system32\fxsresm.dll,-118 (Fax) - Unknown owner - C:

\Windows\system32\fxssvc.exe (file missing)
O23 - Service: Servizio Google Update (gupdate) (gupdate) - Google Inc. - C:

\Program Files (x86)\Google\Update\GoogleUpdate.exe
O23 - Service: Servizio Google Update (gupdatem) (gupdatem) - Google Inc. - C:

\Program Files (x86)\Google\Update\GoogleUpdate.exe
O23 - Service: @%SystemRoot%\system32\ieetwcollectorres.dll,-1000

(IEEtwCollectorService) - Unknown owner - C:\Windows\system32\IEEtwCollector.exe

(file missing)
O23 - Service: @keyiso.dll,-100 (KeyIso) - Unknown owner - C:\Windows

\system32\lsass.exe (file missing)
O23 - Service: Mozilla Maintenance Service (MozillaMaintenance) - Mozilla

Foundation - C:\Program Files (x86)\Mozilla Maintenance Service

\maintenanceservice.exe
O23 - Service: @comres.dll,-2797 (MSDTC) - Unknown owner - C:\Windows

\System32\msdtc.exe (file missing)
O23 - Service: @%SystemRoot%\System32\netlogon.dll,-102 (Netlogon) - Unknown owner

- C:\Windows\system32\lsass.exe (file missing)
O23 - Service: Online Protection System - Quick Heal Technologies (P) Ltd. - C:

\Program Files\Quick Heal\Quick Heal Total Security\opssvc.exe
O23 - Service: @%systemroot%\system32\psbase.dll,-300 (ProtectedStorage) - Unknown

owner - C:\Windows\system32\lsass.exe (file missing)
O23 - Service: Quick Update Service - Quick Heal Technologies (P) Ltd. - C:\Program

Files\Quick Heal\Quick Heal Total Security\quhlpsvc.exe
O23 - Service: @%systemroot%\system32\Locator.exe,-2 (RpcLocator) - Unknown owner -

C:\Windows\system32\locator.exe (file missing)
O23 - Service: @%SystemRoot%\system32\samsrv.dll,-1 (SamSs) - Unknown owner - C:

\Windows\system32\lsass.exe (file missing)
O23 - Service: Total Security Helper Service WSC (ScanWscS) - Quick Heal

Technologies (P) Ltd. - C:\Program Files\Quick Heal\Quick Heal Total Security

\SCANWSCS.EXE
O23 - Service: Safe Browsing proxy service (ScProxySrv) - Quick Heal Technologies

(P) Ltd. - C:\Program Files\Quick Heal\Quick Heal Total Security\ScProxySrv.exe
O23 - Service: Core Browsing Protection (ScSecSvc) - Quick Heal Technologies (P)

Ltd. - C:\Program Files\Quick Heal\Quick Heal Total Security\ScSecSvc.exe
O23 - Service: @%SystemRoot%\system32\snmptrap.exe,-3 (SNMPTRAP) - Unknown owner -

C:\Windows\System32\snmptrap.exe (file missing)
O23 - Service: @%systemroot%\system32\spoolsv.exe,-1 (Spooler) - Unknown owner -

C:\Windows\System32\spoolsv.exe (file missing)
O23 - Service: @%SystemRoot%\system32\sppsvc.exe,-101 (sppsvc) - Unknown owner -

C:\Windows\system32\sppsvc.exe (file missing)
O23 - Service: @%SystemRoot%\system32\ui0detect.exe,-101 (UI0Detect) - Unknown

owner - C:\Windows\system32\UI0Detect.exe (file missing)
O23 - Service: @%SystemRoot%\system32\vaultsvc.dll,-1003 (VaultSvc) - Unknown owner

- C:\Windows\system32\lsass.exe (file missing)
O23 - Service: @%SystemRoot%\system32\vds.exe,-100 (vds) - Unknown owner - C:

\Windows\System32\vds.exe (file missing)
O23 - Service: @%systemroot%\system32\vssvc.exe,-102 (VSS) - Unknown owner - C:

\Windows\system32\vssvc.exe (file missing)
O23 - Service: @%SystemRoot%\system32\Wat\WatUX.exe,-601 (WatAdminSvc) - Unknown

owner - C:\Windows\system32\Wat\WatAdminSvc.exe (file missing)
O23 - Service: @%systemroot%\system32\wbengine.exe,-104 (wbengine) - Unknown owner

- C:\Windows\system32\wbengine.exe (file missing)
O23 - Service: @%Systemroot%\system32\wbem\wmiapsrv.exe,-110 (wmiApSrv) - Unknown

owner - C:\Windows\system32\wbem\WmiApSrv.exe (file missing)
O23 - Service: @%PROGRAMFILES%\Windows Media Player\wmpnetwk.exe,-101

(WMPNetworkSvc) - Unknown owner - C:\Program Files (x86)\Windows Media Player

\wmpnetwk.exe (file missing)

--
End of file - 12018 bytes

[x_Master_x]

Sembra che il problema nasca da Office, sulle cause o una possibile soluzione non ho trovato nessuna informazione. Assicurati che il programma sia aggiornato all'ultima versione con tutte le patch disponibili ( e sia ovviamente originale ) ed eventualmente prova a disabilitare il salvataggio automatico dalle impostazioni. "In modo casuale e saltuario mentre ci si lavora" usando Office immagino.

[aletlinfo]

Sembra che il problema nasca da Office, sulle cause o una possibile soluzione non ho trovato nessuna informazione. Assicurati che il programma sia aggiornato all'ultima versione con tutte le patch disponibili ( e sia ovviamente originale ) ed eventualmente prova a disabilitare il salvataggio automatico dalle impostazioni. "In modo casuale e saltuario mentre ci si lavora" usando Office immagino.

Grazie per la risposta @x_Master_x
Proverò a disabilitare il salvataggio automatico dagli applicativi office.
So che attualmente sopra c'è Office 2003 sp3 ed è stato installato temporaneamente Office 2010 e poi disinstallato subito. Non so se il 2003 abbia regolare licenza o meno me ne accerterò e vedrò come son messi gli aggiornamenti.

ps.scusa mi puoi spiegare come hai capito che la causa del problema sia office? dal log di hijackthis?

[x_Master_x]

Ho cercato sul web e la maggior parte delle persone crede a giusta causa che sia un virus. L'unica cosa in comune tra il tuo log e quello di un'altro con il tuo stesso problema é Office per questo é la mia prima ipotesi.

[tallines]

Ciao, sembra che tu sia infetto.........dal report risultato oltre 70 punti esclamativi gialli..........molte voci potrebbero fare riferimento forse ad applicazioni installate assieme al SO, ossia a programmi della casa madre Compaq........

W7 è pre-installato nel computer o è stato installato a parte ?

Tra le voci con il punto esclamativo :

C:\Program Files (x86)\AnyDesk\AnyDesk.exe

BHO: SmartSelect - {F4971EE7-DAA0-4053-9964-665D8EE6A077} - C:\Program Files

\AcroIEFavClient.dll/AcroIECaptureSelLinks.html

Come antivirus hai installato Quick Heal Total Security ?

E' un antivirus a pagamento e molti punti esclamativi riguardano queste voci che si ripetono molto spesso :

O23 - Service: Core Scanning Server - Quick Heal Technologies (P) Ltd. - C:\Program Files\Quick Heal\Quick Heal Total Security\SAPISSVC.EXE

O23 - Service: Core Scanning ServerEx - Quick Heal Technologies (P) Ltd. - C:\Program Files\Quick Heal\Quick Heal Total Security\SAPISSVC.EXE

O23 - Service: Core Browsing Protection (ScSecSvc) - Quick Heal Technologies (P) Ltd. - C:\Program Files\Quick Heal\Quick Heal Total Security\ScSecSvc.exe

molte voci strane che ricorrono frequentemente sono anche queste >

O18 - Filter: application/x-ica; charset.............

Gli scan sopprattutto con Combofix sono da fare in modalità provvisoria .

Sempre da provvisoria, prova a vedere cosa esce con AdwCleaner .

Se puoi riporta il file di AdwCleaner (R)

Le cartelle strane vengono create nella cartella Temp.............

Fai una pulizia dei file temporanei con Ccleaner, solo alla voce Pulizia e con Aft Cleaner .

E' uno standalone freeware, lo scarichi sul dekstop, lo avvi con il doppio click classico, metti la spunta alla voce > Select All e poi su Empty Selected .

[aletlinfo]

@x_Master_x
Ho disabilitato il salvataggio automatico su excel e word (di office usa esclusivamente questi due) vediamo se il problema si ripresenta o hai trovato realmente la causa.

Ciao, sembra che tu sia infetto.........dal report risultato oltre 70 punti esclamativi gialli..........molte voci potrebbero fare riferimento forse ad applicazioni installate assieme al SO, ossia a programmi della casa madre Compaq........



Escludo infezioni @tallines ho controllati tutti sono software installati di proposito e sicuri (es.anydesk e quickheal).
Si windows è quello preistallato dal produttore.
Le cartelle strane le ho spostate io in quella temp, vengono create nelle cartelle dei documenti excel e word (per questo ritengo molto probabile la causa suggerita da x_Master_x