qualcosa blocca gli .exe ( compreso hijack)

[cc65]

Ciao, ho un problema su un pc:
quando lancio un eseguibile sembra partire poi scompare tutto, ho pensato ad un virus ( o simile) così ho cercato di lanciare hijack per un controllo ma non lo esegue, la cosa strana è che l'avevo dentro una cartella di winrar e dopo averlo visualizzato 2 secondi la finestra scompare mentre gli altri file di winrar sul pc, funzionano, così mi è venuta la balorda idea di rinominare il file compresso e... miracolo il file è rimasto aperto così ho potuto estrarre hijack ma non riesco ad eseguirlo ( come gli altri exe sul pc ) perchè mi chiude la finestra immediatamente. Ogni tanto compare la schermata ( quando sono su internet, uso la adsl per navigare) "identificativo della località di chiamata" , penso sia un dialer a questo punto, ma anche in modalità provvisoria non mi esegue gli exe, in eseguzione normale non mi esegue neanche il taskmanager, mi servirebbe il vostro aiuto.
Ho allegato una jpg con la cartella run da regedit, ci trovate qualcosa di strano?
Ciao e grazie
Claudio

[minulina]

stacca l'hd e puliscilo da un altro pc

[cc65]

Grazie del consiglio ma ho qualche novità:
dopo svariate prove, utilizzando\installando ewido in modalità provvisoria e spybootS&D, improvvisamente non sò come hijack ha preso a funzionare, ho fatto il log, l'ho fatto analizzare e questo è il risultato:
Logfile of HijackThis v1.99.1
Scan saved at 18.19.49, on 31/10/2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.it/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
R3 - Default URLSearchHook is missing
F2 - REG:system.ini: UserInit=c:\windows\system32\userinit.exe,"c:\windows\nvidiajet.exe","c:\windows\javascr.exe","c:\windows\siemenslan.exe",
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmi\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: Class - {45EB1F58-CC8C-9CF3-1837-CA5E41146EBC} - C:\WINDOWS\kngkg1.dll (file missing)
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programmi\google\googletoolbar1.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programmi\google\googletoolbar1.dll
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [WinampAgent] "C:\Programmi\Winamp\Winampa.exe"
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [NvMediaCenter] RunDLL32.exe NvMCTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [AdslTaskBar] rundll32.exe stmctrl.dll,TaskBar
O4 - HKLM\..\Run: [DataLayer] C:\Programmi\File comuni\PCSuite\DataLayer\DataLayer.exe
O4 - HKLM\..\Run: [PCSuiteTrayApplication] C:\Programmi\Nokia\Nokia PC Suite 6\LaunchApplication.exe -onlytray
O4 - HKLM\..\Run: [TkBellExe] "C:\Programmi\File comuni\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [!ewido] "C:\Programmi\ewido anti-spyware 4.0\ewido.exe" /minimized
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programmi\Microsoft Office\Office\OSA9.EXE
O8 - Extra context menu item: &Google Search - res://c:\programmi\google\GoogleToolbar1.dll/cmsearch.html
O8 - Extra context menu item: &Translate English Word - res://c:\programmi\google\GoogleToolbar1.dll/cmwordtrans.html
O8 - Extra context menu item: Backward Links - res://c:\programmi\google\GoogleToolbar1.dll/cmbacklinks.html
O8 - Extra context menu item: Cached Snapshot of Page - res://c:\programmi\google\GoogleToolbar1.dll/cmcache.html
O8 - Extra context menu item: Similar Pages - res://c:\programmi\google\GoogleToolbar1.dll/cmsimilar.html
O8 - Extra context menu item: Translate Page into English - res://c:\programmi\google\GoogleToolbar1.dll/cmtrans.html
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O23 - Service: ewido anti-spyware 4.0 guard - Anti-Malware Development a.s. - C:\Programmi\ewido anti-spyware 4.0\guard.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: Sandra Data Service (SandraDataSrv) - SiSoftware - C:\Programmi\SiSoftware\SiSoftware Sandra Lite 2005.SR3\RpcDataSrv.exe
O23 - Service: Sandra Service (SandraTheSrv) - SiSoftware - C:\Programmi\SiSoftware\SiSoftware Sandra Lite 2005.SR3\RpcSandraSrv.exe
O23 - Service: WebSkz - Unknown owner - C:\zsf.exe

Vi devo dire la + bella: dopo aver scritto "questo è il risultato" ho cercato di aprire il file di log e.... me lo chiude subito, allora l'ho compresso con winrar ma stessa cosa: me lo chiude un secondo dopo averlo aperto, allora ho rinominato il file compresso, aperto e poi cliccato su visiona e... winrar si è chiuso, ho dovuto rinominare il file di log per poterlo aprire, ma quale maledetto worm riesce a fare ste cose

Comunque dopo aver utilizzato hijack, ho fixato la F2-R3-02 BHO CLASS- 023
queste sono quelle che l'analizzatore ha consigliato di togliere e così ho rilanciato ewido che ha trovato tra vari cookie anche :
DOWNLOADER.TUKPAT.A
HIJACKER.SMALL.KJ
TROJAN.SMALL.JM
Ho cancellato anche i suddetti, ho riavviato e finalmente sono riuscito ad installare un .exe per mio nipote, ma sorpresa delle sorprese.... hijack non funziona ancora, infatti come ho scritto sopra, per copiare il contenuto del log in questo post ho dovuto rinominare il file, praticamente tutto quello che porta il nome di hijack non viene aperto
Almeno adesso il taskmanager funziona....
Ditemi se non è strana questa cosa.....
Spero ancora in voi.
Ciao
Claudio

[FOXYLADY]

Prova a fare così

Clicca su start>esegui e digita regedit

Ti si aprirà l'editor del registro
Usando le caselline col segno + portati su questa chiave:
HKEY_LOCAL_MACHINE>Software>Microsoft>Windows NT>CurrentVersion

ora clicca sulla casellina Winlogon
a destra ti appariranno varie voci, controlla la voce userinit
Dovrebbe presentarsi così
c:\windows\system32\userinit.exe

se invece ci sono altri valori, dimmi quali sono.

[juninho85]

Originariamente inviato da FOXYLADY

Prova a fare così

Clicca su start>esegui e digita regedit

Ti si aprirà l'editor del registro
Usando le caselline col segno + portati su questa chiave:
HKEY_LOCAL_MACHINE>Software>Microsoft>Windows NT>CurrentVersion

ora clicca sulla casellina Winlogon
a destra ti appariranno varie voci, controlla la voce userinit
Dovrebbe presentarsi così
c:\windows\system32\userinit.exe

se invece ci sono altri valori, dimmi quali sono.

F2 - REG:system.ini: UserInit=c:\windows\system32\userinit.exe,"c:\windows\nvidiajet.exe","c:\windows\javascr.exe","c:\windows\siemenslan.exe"

i log vanno postati qui,postaci perchè c'è un pò di roba da rimuovere

[stesio54]

Originariamente inviato da juninho85

i log vanno postati qui,postaci perchè c'è un pò di roba da rimuovere