vws4ox.exe: il mistero

[Skatter]

vws4ox.exe è un'applicazione sfuggente e misteriosa.
Lo trovo da subito, appena acceso, sul mio pc, tra i processi del task manager, anche se facendo "cerca" nell'hd, cartelle nascoste e di sistema comprese, non viene rilevato.

Occupa pochi mb di ram, ma chiede al mio firewall di potersi collegare ad internet e il personal norton mi consiglia farglielo fare.

Non ho problemi, ma ad un tratto ecco la mia cpu spremuta al 100% da questo processo.
Su Google zero risultati.
Oggi gli ho impedito di connettersi ad internet, è sparito dal task manager e non lo trovo neanche con la solita funzione "cerca" del s.o.

Pareri?

p.s. già pulito e protetto da Sasser!!!

[Skatter]

Anche prima della connessione ad internet, il processo relativo al file è avviato.
Lo termino, il pc continua a fungere senza problemi, non c'è richiesta di accesso alla rete, ma il file continua ad essere introvabile...

[ring]

Prova a farti una scansione con Ad-aware e Spybot e CWShredder.
Li trovi facilmente in Internet.

Fammi sapere

Ciao

[Skatter]

CWShredder ha fatto la scansione e sentenziato:
"Done! Removed from your system: CWS.Searchx".
Che roba è?

Quindi HijackThis rileva una sfilza di voci, molte si riferiscono a roba innocua, su qcuna ho dei dubbi: ecco un'immagine.
Dimmi cosa devo fare, quali pulsanti usare per eseguire una eventuale pulizia.

Ad-Aware ha trovato 6 oggetti, ma credo tutti innocui, nella cartella doc. and sett/cookies:
5 tracking cookie e un "other", cookie anch'esso: Red Sherrif Tracking Cookie.
Per tutti la categoria individuata è DATA MINER.

Seguirà rapporto SpyBot, grazie mille!

[Skatter]

Ecco l'img di ciò che ha trovato SpyBot.
Aiutami a capire.

[Skatter]

Ovviamente al riavvio del pc vws4ox.exe è sempre lì...

[MrOZ]

con hijackthis, salva il log, apri il file .txt e copia-incollalo qui.

[ring]

Hai cancellato tutto quello che ti ha trovato, vero?

Ciao

EDIT: quoto quello che ti ha detto MrOZ; se posti il log potrai essere più facilmente aiutato (dall'immagine che hai allegato non si capisce molto)

[Skatter]

Logfile of HijackThis v1.97.7
Scan saved at 14.32.22, on 14/05/2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programmi\File comuni\Symantec Shared\ccSetMgr.exe
C:\WINDOWS\Explorer.EXE
C:\Programmi\File comuni\Symantec Shared\ccEvtMgr.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programmi\Alwil Software\Avast4\aswUpdSv.exe
C:\Programmi\Alwil Software\Avast4\ashServ.exe
C:\Programmi\File comuni\Symantec Shared\ccProxy.exe
C:\Programmi\Analog Devices\SoundMAX\SMax4PNP.exe
C:\Programmi\File comuni\Symantec Shared\DJSNETCN.exe
C:\Programmi\Analog Devices\SoundMAX\Smax4.exe
C:\Programmi\mysql\bin\mysqld-nt.exe
C:\WINDOWS\Anvshell.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\Programmi\Thomson\SpeedTouch USB\Dragdiag.exe
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\Programmi\Analog Devices\SoundMAX\SMAgent.exe
C:\programmi\powerstrip\pstrip.exe
C:\Programmi\File comuni\Symantec Shared\ccApp.exe
C:\Programmi\MSN Messenger\MsnMsgr.Exe
C:\WINDOWS\System32\svchost.exe
C:\Programmi\File comuni\Symantec Shared\CCPD-LC\symlcsvc.exe
C:\Programmi\File comuni\Ulead Systems\DVD\ULCDRSvr.exe
C:\Programmi\Pinnacle\Shared Files\Programs\Scheduler\PCLEScheduler.exe
C:\Programmi\Internet Explorer\iexplore.exe
C:\Programmi\Adobe\Acrobat 5.0\Acrobat\Acrobat.exe
C:\Programmi\Outlook Express\msimn.exe
C:\WINDOWS\system32\NOTEPAD.EXE
C:\Programmi\Spybot - Search & Destroy\SpybotSD.exe
C:\Documents and Settings\Skatter\Documenti\app\help\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.repubblica.it/
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet Explorer
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmi\Adobe\Acrobat 5.0\Acrobat\ActiveX\AcroIEHelper.ocx
O2 - BHO: Web assistant - {9ECB9560-04F9-4bbc-943D-298DDF1699E1} - C:\Programmi\File comuni\Symantec Shared\AdBlocking\NISShExt.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: Web assistant - {0B53EAC3-8D69-4b9e-9B19-A37C9A5676A7} - C:\Programmi\File comuni\Symantec Shared\AdBlocking\NISShExt.dll
O4 - HKLM\..\Run: [SoundMAXPnP] C:\Programmi\Analog Devices\SoundMAX\SMax4PNP.exe
O4 - HKLM\..\Run: [SoundMAX] "C:\Programmi\Analog Devices\SoundMAX\Smax4.exe" /tray
O4 - HKLM\..\Run: [Anvshell] C:\WINDOWS\Anvshell.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE NvQTwk,NvCplDaemon initialize
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [SpeedTouch USB Diagnostics] "C:\Programmi\Thomson\SpeedTouch USB\Dragdiag.exe" /icon
O4 - HKLM\..\Run: [PinnacleDriverCheck] C:\WINDOWS\System32\PSDrvCheck.exe -CheckReg
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [PowerStrip] c:\programmi\powerstrip\pstrip.exe
O4 - HKLM\..\Run: [ccApp] "C:\Programmi\File comuni\Symantec Shared\ccApp.exe"
O4 - HKLM\..\RunServices: [DJSNetCN] C:\Programmi\File comuni\Symantec Shared\DJSNETCN.exe
O4 - HKCU\..\Run: [MsnMsgr] "C:\Programmi\MSN Messenger\MsnMsgr.Exe" /background
O4 - Startup: Registration-PCTV.lnk = C:\Programmi\Pinnacle\PCTV Stereo\ERegister\RegTool.exe
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Programmi\File comuni\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Pinnacle Scheduler.lnk = C:\Programmi\Pinnacle\Shared Files\Programs\Scheduler\PCLEScheduler.exe
O8 - Extra context menu item: Download with GetRight - C:\Programmi\GetRight\GRdownload.htm
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O8 - Extra context menu item: Open with GetRight Browser - C:\Programmi\GetRight\GRbrowse.htm
O9 - Extra button: Messenger (HKLM)
O9 - Extra 'Tools' menuitem: Messenger (HKLM)
O12 - Plugin for .spop: C:\Programmi\Internet Explorer\Plugins\NPDocBox.dll
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://www.pandasoftware.com/activescan/as5/asinst.cab
O16 - DPF: {9F1C11AA-197B-4942-BA54-47A8489BB47F} (Update Class) - http://v4.windowsupdate.microsoft.com/CAB/x86/unicode/iuctl.CAB?38028.6012268519
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{C00261A9-44CA-4E96-B125-88E08930F8EA}: NameServer = 130.244.127.161 130.244.127.169

Cmq non ho cancellato nulla, magari prima ricopiate e rincollate le righe del log che corrispondono agli oggetti che devo cancellare, please!
Cos'è il pulsante "Fix checked"?

Inoltre anche con SpyBot non ho fatto ancora nulla.
Mi consigliate quelle modifiche al registro indicate dal programma?

Mi piacerebbe capire di + su questi sw, in che modo scansionano il disco e cosa fanno se decido di intervenire.
Grazie!

[ring]

Cancella quello che ti trova sia Ad-Aware sia Spybot.
Poi vedi se ti fa ancora qualcosa.
Se poi risolvi, tanto meglio; postami il log di ad-aware e spybot e vedrò di dirti cos'è che avevi installato.
E comunque, anche se cancelli qualcosa con ad-aware o spybot che poi scopri che ti serve, lo puoi ripristinare.
Quindi, vai tranquillo!!! ;)

Fammi sapere

Ciao

[wgator]

Originariamente inviato da Skatter

Mi piacerebbe capire di + su questi sw, in che modo scansionano il disco e cosa fanno se decido di intervenire.
Grazie!

Ciao,

per quanto riguarda spybot, ti ha trovato roba non troppo pericolosa, qualche spyware, gli identificatori univoci di windows media player (li installa zio bill)... puoi, anzi devi cancellare tutto con tranquillità.

Hjackthis invece è un software un po' più tosto... mostra tutti i processi in esecuzione sul computer, sta a te individuare quelli dannosi ed eliminarli. In pratica va messa la spunta sugli eventuali clandestini dopodichè si clicca sul pulsante "Fix checked" per cancellarli definitivamente. Per questo va usato con prudenza.

Non mi sembra di aver visto niente di rilevante nella lista, quindi non vedo niente da "hjakare". Ci sono comunque ottimi maestri che potranno analizzarlo in modo molto più autorevole.

Io sto solo seguendo con interesse questa discussione perchè cerco di imparare.

[Skatter]

Imparo anch'io questa vicenda, sulla mia pelle e seguendola sul forum.
Devo dire che in quanto a sicurezza sono assolutamente all'asciutto.

CMq, dopo aver eliminato gli oggetti indicati dai vari sw, il io careo eseguibile è sempre lì, ad ogni riavvio del pc e non risulta da nessuna ricerca sul disco.
Non ricordo quale, forse SpyBot, indica il percorso dell'exe nella cartella downloaded program files, ma lì non c'è nulla, nemmeno un file nascosto o di sistema...

[Skatter]

Brancoliamo nel buoi, mi pare.
Su una cosa, però, dovrebbe esserci certezza.

Il mio eseguibile vws4ox.exe non è un file di sistema, nessuno di voi ce l'ha sul pc e soprattutto nessuno ha mai parlato di lui (secondo google).

Giusto?
Dai ragazzi, aiutatemi!

[wgator]

Originariamente inviato da Skatter
Brancoliamo nel buoi, mi pare.
Su una cosa, però, dovrebbe esserci certezza.

Il mio eseguibile vws4ox.exe non è un file di sistema, nessuno di voi ce l'ha sul pc e soprattutto nessuno ha mai parlato di lui (secondo google).

Giusto?
Dai ragazzi, aiutatemi!

Ciao,

sorry, anch'io ho fatto una ricerca di vws4ox.exe (con molti motori) senza nessun risultato :(

Il guaio è che non mi risulta niente di strano sul tuo "hijackthis"