Problemi con regsvr32

[Arma22]

Il mio problema è che ho la cpu perennemente all'11% ( visto da task manager ) perchè il programma regsvr32.exe viene eseguito in continuazione ( anche questo visto da t.m.).
L'unico modo che ho per interrompere ciò è andare a cancellare il file nella directory system32, file che verrà automaticamente ricreato al riavvio di windows.

Qualcuno sa dirmi come uscire da questa situazione ???

Grazie Mille


Davide

[wgator]

Ciao,

regsvr32.exe è un processo di windows che serve per ripristinare le dll che fossero andate perse o danneggiate.

Io farei queste 2 prove:

1) controllo antivirus on line con
questo (http://it.trendmicro-europe.com/consumer/products/housecall_pre.php) tanto per essere certo di non avere virus e simili

2) start->esegui "sfc /scannow" che serve per ripristinare i files protetti di sistema casomai fossero stati danneggiati o persi

[Arma22]

Ho provato con il comando scannow, ma non è cambiato niente all'apparenza.
Non sono sicuro di essere completamente pulito, perchè anche se utilizzo regolarmente spybot, adaware, antivir (aggiornati) ogni tanto si disconnette da solo e mi viene creato un file in c:....

perciò la causa del continuo esegursi di regsvr32 è a colpa di un programma chiamante di origine probabilmente virale.....


hai quache idea su come capire che programma sia, se lavora in background da qualche parte dovrà pur essere.

CMQ grazie mille per l'attenzione,

Davide

[wgator]

Ciao,

per me l'unica soluzione per capire la natura del problema è quella di leggere il log di hijackthis (http://www.majorgeeks.com/download3155.html)

Se posti il log ci do un'occhiata

[Arma22]

Ti incollo qua sotto il log :

Logfile of HijackThis v1.97.7
Scan saved at 0.02.32, on 12/10/2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
G:\WINDOWS\System32\smss.exe
G:\WINDOWS\system32\winlogon.exe
G:\WINDOWS\system32\services.exe
G:\WINDOWS\system32\lsass.exe
G:\WINDOWS\system32\svchost.exe
G:\WINDOWS\System32\svchost.exe
G:\WINDOWS\Explorer.EXE
G:\WINDOWS\system32\spoolsv.exe
G:\Programmi\AVPersonal\AVGUARD.EXE
G:\Programmi\AVPersonal\AVWUPSRV.EXE
G:\Programmi\File comuni\Microsoft Shared\VS7Debug\mdm.exe
G:\WINDOWS\system32\scagent.exe
G:\Programmi\AVPersonal\AVGNT.EXE
G:\Programmi\NVIDIA Corporation\NvMixer\NvMixerTray.exe
G:\Programmi\File comuni\Real\Update_OB\realsched.exe
G:\WINDOWS\podnl1.exe
G:\Documents and Settings\Gav\Desktop\Utility\HijackThis.exe

O4 - HKLM\..\Run: [mswspl] G:\WINDOWS\podnl1.exe


Guarda tu quello che si può fare....
Ti posso dire che l'ultimo spy che ho eliminato è si chiama SPY.Briss.H.2

Se risolvi questo problema prometto che mi iscrivo al comitato nazionale per l'abolizione del lavoro :-) :-)

Ciao e grazie,
Davide

[wgator]

Ciao,

il link che ho postato sopra si riferisce alla versione 1.98.2 di hijackthis.
Tu hai usato la vecchia 1.97.7 perciò potrebbe non trovare qualcosa.

Comunque devi cancellare questi 2 processi:

G:\WINDOWS\system32\scagent.exe
G:\WINDOWS\podnl1.exe

Poi con hijackthis spunta questa voce e premi fix

O4 - HKLM\..\Run: [mswspl] G:\WINDOWS\podnl1.exe

Quando hai fatto, per sicurezza è meglio se posti un nuovo log con l'ultima versione di hijackthis

[Arma22]

Eliminandoli uno alla volta dalla sezione processi ho capito che la colpa delle continue chiamate a regsvr32 e il processo chiamato

scagent.exe

Lo Elimino subito dalla cartella, mi sai dire qualcosa di più su questo cazzuola di spy, magari altri file annidati da qualche parte.


Grazie per l'attenzione,


Ciao

[maurizio1953]

Salve a tutti!
ho anche io un problema con regsvr.
Contiene un virus.
Provo a sostiruirlo con uno nuovo scaricato dal sito microsoft, sembra che viene sostituito e un attimo dopo riappare quello precedente (mi accorgo perchè ha la data del file precedentemente cancellato) mentre quello estratto, visibile per un attimo, ha una data diversa!!

Di seguito i risultati di hijack :

Logfile of Trend Micro HijackThis v2.0.4
Scan saved at 11.09.18, on 05/09/2013
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v8.00 (8.00.6001.18702)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programmi\Avira\AntiVir Desktop\sched.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\hkcmd.exe
C:\Programmi\EeePC\ACPI\AsAcpiSvr.exe
C:\Programmi\EeePC\ACPI\AsEPCMon.exe
C:\Programmi\EeePC\ACPI\AsTray.exe
C:\Programmi\Synaptics\SynTP\SynTPEnh.exe
C:\WINDOWS\system32\igfxsrvc.exe
C:\Programmi\Asus\LiveUpdate\LiveUpdate.exe
C:\WINDOWS\system32\rundll32.exe
C:\WINDOWS\RTHDCPL.EXE
C:\Programmi\Avira\AntiVir Desktop\avguard.exe
C:\Programmi\Spybot - Search & Destroy 2\SDTray.exe
C:\WINDOWS\system32\igfxext.exe
C:\Programmi\Avira\AntiVir Desktop\avgnt.exe
C:\Programmi\AskPartnerNetwork\Toolbar\Updater\TBNotifier.exe
C:\Programmi\AskPartnerNetwork\Toolbar\apnmcp.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programmi\Spybot - Search & Destroy 2\SDFSSvc.exe
C:\Documents and Settings\All Users\Dati applicazioni\Skype\Toolbars\Skype C2C Service\c2c_service.exe
C:\WINDOWS\system32\svchost.exe
C:\Programmi\Spybot - Search & Destroy 2\SDUpdSvc.exe
C:\Programmi\Avira\AntiVir Desktop\avshadow.exe
C:\WINDOWS\system32\svchost.exe
C:\Programmi\Mozilla Firefox\firefox.exe
C:\WINDOWS\system32\wscntfy.exe
C:\Programmi\Avira\AntiVir Desktop\AVWEBGRD.EXE
C:\WINDOWS\system32\msiexec.exe
C:\Programmi\Trend Micro\HiJackThis\HiJackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://asus.msn.com
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Programmi\File comuni\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: Conduit Engine - {30F9B915-B755-4826-820B-08FBA6BD249D} - C:\Programmi\ConduitEngine\prxConduitEngine.dll
O2 - BHO: Avira SearchFree Toolbar plus Web Protection BHO - {41564952-412D-5637-00A7-7A786E7484D7} - "C:\Programmi\AskPartnerNetwork\Toolbar\AVIRA-V7\Passport.dll" (file missing)
O2 - BHO: Discover USA - {48405d3d-2674-4cd8-b1ef-9a719443bd3f} - C:\Programmi\Search_USA\prxtbSea0.dll
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\Programmi\Spybot - Search & Destroy 2\SDHelper.dll
O2 - BHO: Search Helper - {6EBF7485-159F-4bff-A14F-B9E3AAC4465B} - C:\Programmi\Microsoft\Search Enhancement Pack\Search Helper\SearchHelper.dll
O2 - BHO: Guida per l'accesso a Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Programmi\File comuni\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: SkypeIEPluginBHO - {AE805869-2E5C-4ED4-8F7B-F1F7851A4497} - C:\Programmi\Skype\Toolbars\Internet Explorer\skypeieplugin.dll
O2 - BHO: Windows Live Toolbar Helper - {E15A8DC0-8516-42A1-81EA-DC94EC1ACF10} - C:\Programmi\Windows Live\Toolbar\wltcore.dll
O3 - Toolbar: Discover USA Toolbar - {48405d3d-2674-4cd8-b1ef-9a719443bd3f} - C:\Programmi\Search_USA\prxtbSea0.dll
O3 - Toolbar: Conduit Engine - {30F9B915-B755-4826-820B-08FBA6BD249D} - C:\Programmi\ConduitEngine\prxConduitEngine.dll
O3 - Toolbar: &Windows Live Toolbar - {21FA44EF-376D-4D53-9B0F-8A89D3229068} - C:\Programmi\Windows Live\Toolbar\wltcore.dll
O3 - Toolbar: Avira SearchFree Toolbar plus Web Protection - {41564952-412D-5637-00A7-7A786E7484D7} - "C:\Programmi\AskPartnerNetwork\Toolbar\AVIRA-V7\Passport.dll" (file missing)
O4 - HKLM\..\Run: [IgfxTray] C:\WINDOWS\system32\igfxtray.exe
O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\system32\hkcmd.exe
O4 - HKLM\..\Run: [Persistence] C:\WINDOWS\system32\igfxpers.exe
O4 - HKLM\..\Run: [AsusACPIServer] C:\Programmi\EeePC\ACPI\AsAcpiSvr.exe
O4 - HKLM\..\Run: [AsusEPCMonitor] C:\Programmi\EeePC\ACPI\AsEPCMon.exe
O4 - HKLM\..\Run: [AsusTray] C:\Programmi\EeePC\ACPI\AsTray.exe
O4 - HKLM\..\Run: [SynTPEnh] C:\Programmi\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [SynAsusAcpi] C:\Programmi\Synaptics\SynTP\SynAsusAcpi.exe
O4 - HKLM\..\Run: [LiveUpdate] C:\Programmi\Asus\LiveUpdate\LiveUpdate.exe auto
O4 - HKLM\..\Run: [BluetoothAuthenticationAgent] rundll32.exe bthprops.cpl,,BluetoothAuthenticationAgent
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [Adobe ARM] "C:\Programmi\File comuni\Adobe\ARM\1.0\AdobeARM.exe"
O4 - HKLM\..\Run: [SDTray] "C:\Programmi\Spybot - Search & Destroy 2\SDTray.exe"
O4 - HKLM\..\Run: [avgnt] "C:\Programmi\Avira\AntiVir Desktop\avgnt.exe" /min
O4 - HKLM\..\Run: [ApnTBMon] "C:\Programmi\AskPartnerNetwork\Toolbar\Updater\TBNotifier.exe"
O4 - HKCU\..\Run: [Spybot-S&D Cleaning] "C:\Programmi\Spybot - Search & Destroy 2\SDCleaner.exe" /autoclean
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:\PROGRA~1\MICROS~3\Office12\EXCEL.EXE/3000
O8 - Extra context menu item: Invia a Bluetooth - C:\Programmi\WIDCOMM\Bluetooth Software\btsendto_ie.htm
O8 - Extra context menu item: Invia a periferica &Bluetooth... - C:\Programmi\WIDCOMM\Bluetooth Software\btsendto_ie_ctx.htm
O9 - Extra button: Inserisci blog - {219C3416-8CB2-491a-A3C7-D9FCDDC9D600} - C:\Programmi\Windows Live\Writer\WriterBrowserExtension.dll
O9 - Extra 'Tools' menuitem: Inserisci &blog in Windows Live Writer - {219C3416-8CB2-491a-A3C7-D9FCDDC9D600} - C:\Programmi\Windows Live\Writer\WriterBrowserExtension.dll
O9 - Extra button: Invia a OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~3\Office12\ONBttnIE.dll
O9 - Extra 'Tools' menuitem: I&nvia a OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~3\Office12\ONBttnIE.dll
O9 - Extra button: Skype Click to Call - {898EA8C8-E7FF-479B-8935-AEC46303B9E5} - C:\Programmi\Skype\Toolbars\Internet Explorer\skypeieplugin.dll
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~3\Office12\REFIEBAR.DLL
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\Programmi\Spybot - Search & Destroy 2\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search && Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\Programmi\Spybot - Search & Destroy 2\SDHelper.dll
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O9 - Extra button: (no name) - Cmdmapping - (no file) (HKCU)
O18 - Protocol: skype-ie-addon-data - {91774881-D725-4E58-B298-07617B9B86A8} - C:\Programmi\Skype\Toolbars\Internet Explorer\skypeieplugin.dll
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\FILECO~1\Skype\SKYPE4~1.DLL
O22 - SharedTaskScheduler: Precaricatore Browseui - {438755C2-A8BA-11D1-B96B-00A0C90312E1} - C:\WINDOWS\system32\browseui.dll
O22 - SharedTaskScheduler: Daemon di cache delle categorie di componenti - {8C7461EF-2B13-11d2-BE35-3078302C2030} - C:\WINDOWS\system32\browseui.dll
O23 - Service: Adobe Flash Player Update Service (AdobeFlashPlayerUpdateSvc) - Adobe Systems Incorporated - C:\WINDOWS\system32\Macromed\Flash\FlashPlayerUpdateService.exe
O23 - Service: Avira Pianificatore (AntiVirSchedulerService) - Avira Operations GmbH & Co. KG - C:\Programmi\Avira\AntiVir Desktop\sched.exe
O23 - Service: Avira Real-Time Protection (AntiVirService) - Avira Operations GmbH & Co. KG - C:\Programmi\Avira\AntiVir Desktop\avguard.exe
O23 - Service: Avira Web Protection (AntiVirWebService) - Avira Operations GmbH & Co. KG - C:\Programmi\Avira\AntiVir Desktop\AVWEBGRD.EXE
O23 - Service: Servizio di aggiornamento Ask (APNMCP) - APN LLC. - C:\Programmi\AskPartnerNetwork\Toolbar\apnmcp.exe
O23 - Service: Mozilla Maintenance Service (MozillaMaintenance) - Mozilla Foundation - C:\Programmi\Mozilla Maintenance Service\maintenanceservice.exe
O23 - Service: Spybot-S&D 2 Scanner Service (SDScannerService) - Safer-Networking Ltd. - C:\Programmi\Spybot - Search & Destroy 2\SDFSSvc.exe
O23 - Service: Spybot-S&D 2 Updating Service (SDUpdateService) - Safer-Networking Ltd. - C:\Programmi\Spybot - Search & Destroy 2\SDUpdSvc.exe
O23 - Service: Spybot-S&D 2 Security Center Service (SDWSCService) - Safer-Networking Ltd. - C:\Programmi\Spybot - Search & Destroy 2\SDWSCSvc.exe
O23 - Service: Skype C2C Service - Skype Technologies S.A. - C:\Documents and Settings\All Users\Dati applicazioni\Skype\Toolbars\Skype C2C Service\c2c_service.exe
O23 - Service: Skype Updater (SkypeUpdate) - Skype Technologies - C:\Programmi\Skype\Updater\Updater.exe

--
End of file - 9791 bytes

Potete aiutarmi ???

Grazie e ciao

Eliminandoli uno alla volta dalla sezione processi ho capito che la colpa delle continue chiamate a regsvr32 e il processo chiamato

scagent.exe

Lo Elimino subito dalla cartella, mi sai dire qualcosa di più su questo cazzuola di spy, magari altri file annidati da qualche parte.


Grazie per l'attenzione,


Ciao

[tallines]

Ciao disattiva i punti di ripristino e scaricati sul desktop AdwCleaner (http://www.bleepingcomputer.com/download/adwcleaner/) e Combofix (http://www.bleepingcomputer.com/combofix/it/come-usare-combofix) .

Siccome c'è la versaione nuova di AdwCleaner con l'icona con l'insetto blu, non più arancione, probabile che se hai come antivirus Avira o altri....durante il download venga scambiato per un virus, il cosiddetto falso positivo.

Quindi perche non succeda, disattiva l'antivirus che hai nella barra delle apllicazioni : tasto destro sull'icona e (es.per Avira) cliica su Attiva Real Time protection .

A parte che è meglio che sia disattivato l'antivirus .

Una volta fatto il download sul desktop di ambedue le utility, vai in modalità provvisoria e le lanci da li .

Per AdwCleaner click su Scan e poi su Clean .
Una volta terminata la procedura clean, AdwCleaner ti dice che per finire deve essere riavviato il pc .
Lo riavvii, torni in provvisoria, vai in C e trovi la cartella AdwCleaner .
Entri dentro e ti copi in un'altra cartella (documenti....o sul desktop..........) il file di report .txt > AdwCleaner (S).
Apri di nuovo AdwCleaner e clicca su Uninstall per toglierlo .
Altrimenti se torni in modalità normale viene visto come un falso positivo, virus.........

Per Combofix se ti dice che ha rilevato la presena dell'antivirus....digli di si e continua .
Se ti chiede se vuoi installare la console di ripristino, digli di No e fai continuare lo scan .

Dopo gli scan ritorna in modalità normale, lasci i punti di ripristino disattivati e vedi se regsvr è a posto .

Al limite o lo scarichi e lo sostituisci come hai fatto dal sito della Microsoft o inserisci il cd d'installazione di Xp nel lettore cd/dvd che hai e dai il comando sfc /scannow da Start/Esegui .

[maurizio1953]

Grazie per l'aiuto !!!
Con i due programmi sono riuscito a togliere il virus, c'era anche un rootkit
che bloccava l'opzione di reistallazione del sistema operativo.

Mi ero dimenticato di dire che il pc è un netbook acer.
Ora il pc è tornato alla situazione di 'come nuovo' , sto
istallando browser, antivirus e openoffice.

Sembra che tutto vada al meglio!!!

Grazie per il supporto .....

Ciao
Maurizio

[tallines]

Mi fa piacere .

Volevo chiederti due cosette ;) : quando hai scaricato AdwCleaner è stato visto come un virus dal tuo antivirus ?

Che antivirus hai ?

Potresti postare i tre file di text che ti chiedo ?

Magai li posti mettendoli insieme in una cartella, li comprimi in formato zip con ungestore d'archivi qualsiasi tipo 7zip...... e carichi su ww.wikisend.com

1 - AdwClenear (S) che trovi in C/AdwCleaner (che è la cartella che crea AdwCleaner stesso)
2 - Combofix che trovi in C
3 - Combofix-quarantined-files che trovi in C/Qoobox (Qoobox è la cartella che crea Combofix) .

[maurizio1953]

Tallines ...
AdwCleaner non è stato visto come virus.
L'antivirus che avevo istallato era avira (non mi faceva istallare Avg)

Non posso inviarti i files in quanto dopo aver fatto girare AdwCleaner mi ha dato il messaggio che aveva sistemato un rootkit nel masterboot e a quel punto sono riuscito ad attivare la partizione nascosta (questi piccoli pc hanno tutta l'istallazione originale salvata in una partizione in cui si accede durante il boot (subito dopo il bios) premendo il tasto f9) e mi sono dedicato 'felicemente' a ripristinare il pc come era in origine, senza preoccuparmi di salvare nulla della vecchia istallazione che ... faceva acqua da tutte le parti!!

mi dispiace ......

Cmq grazie ancora per il supporto, mi sono gia salvato in un file i tuoi suggerimenti ... metti caso dovessero servire ancora .... ogni tanto qualche amico rimane con il pc bloccato !!

Grazie e a risentirci.
Ciao
Maurizio

[tallines]

Va bene lo stess anche se non puoi postarmi i tre file di text ;)

L'importante è che tu abbia risolto .

In futuro una maggiore manutenzione, magari eviti l'uso della partizione nascosta che praticamnte ti azzera tutto quello che hai messo dopo l'installazione di default del SO .

Magari i dati salvati esternamente, in modo tale che se devi usare la partizione nascosta non hai problemi ;)