Problema con PC

[odracciR]

Ho già postato nel thread ufficiale di HiJackThis, per non andare lì of topic mi sono aperto un thread. Riporto il mio post in quel thread:

Io ho un problema con il PC e non so a cosa sia dovuto. Il problema consiste nel fatto che il pc di colpo quando gli gira (circa 10 minuti dopo che è stato acceso) si riavvia senza dire niente. Ogni tanto capita che mi compare un messaggio prima del riavvio con un conto alla rovescia di 1 minuto che dice che "L'arresto è stato autorizzato da NTAUTHORITY/SYSTEM" e il problema sta in c:\WINDOWS\system32\serices.exe con codice di stato 204. Visto il poco tempo a mia disposizione non riesco a fare uno scan con l'antivirus (ho McAfee). Non sapendo da dove partire ho usato HijackThis e spero si possa risolvere il problema. In caso non si reisca formatto e riinstallo tutto... Grazie

Mi è stato suggerito che potesse trattarsi di un certo "Worm Blaster". Ho scaricato un tool della Symantec e uno della Microsoft. Faccio aprtire il tool Symantec e arrivato nella cartella di windows dopo 30 minuti circa di scan il pc si riavvia senza che il tool completi lo scan. Allora ho provato con quello della microsoft e succede la stessa cosa. Alla fine sono riuscito a scoprire che non posso più toccare la cartella C:\windows\system32. Basta che la seleziono e il pc si riavvia. Anche tentando di fare uno scan selettivo scegliendo la cartella da controllare con il tool, nel momneot in cui la seleziono si riavvia il pc. Che posso fare?

[FOXYLADY]

Ciao,

ti ho risposta nel thread di hijack, oltre a fixare quelle voci prova anche questa procedura:
scarica Avenger
http://swandog46.geekstogo.com/avenger.zip
dopo averlo decompresso, avvia il file avenger.exe
Seleziona l'opzione Input Script Manually
e clicca sulla lente d'ingrandimento

Ti si apre una finestra "View/edit script"
All'interno del box bianco,
copi e incolli

Files to delete:

C:\WINDOWS\System32\wservice.exe

clicca sul pulsante Done
Clicca sull'icona del semaforo verde
Rispondi Yes
Il pc dovrebbe riavviarsi da solo,se così non fosse riavvialo manualmente

[odracciR]

Ho letto, grazie per la risposta. Ho fixato quello che mi hai detto e adesso provo con avenger.

[odracciR]

Mi sa che non ha funzionato, ti incollo il log di avenger:

Logfile of The Avenger version 1, by Swandog46
Running from registry key:
\Registry\Machine\System\CurrentControlSet\Services\jnjejutf

*******************

Script file located at: \??\C:\Documents and Settings\mjbpmegh.txt
Script file opened successfully.

Script file read successfully

Backups directory opened successfully at C:\Avenger

*******************

Beginning to process script file:



File C:\WINDOWS\System32\wservice.exe not found!
Deletion of file C:\WINDOWS\System32\wservice.exe failed!

Could not process line:
C:\WINDOWS\System32\wservice.exe
Status: 0xc0000034


Completed script processing.

*******************

Finished! Terminate.

[FOXYLADY]

Ma dopo il fix di hijackthis riesci ad accedere alla cartella service32 oppure ancora no?

[odracciR]

No. Basta addirittura che passo con il puntatore del mouse sopra la cartella, senza selezionarla che mi si riavvia il pc.

[FOXYLADY]

Prova a fare un tentativo con killbox, lo trovi qui
http://www.bleepingcomputer.com/files/killbox.php
scompatta l'archivio e lancia l'eseguibile.

Nel box scrivi
C:\WINDOWS\System32\wservice.exe
e premi il pulsante con la x rossa.

Poi, non so se hai già provato a fare le scansioni in modalità provvisoria, nel caso fai anche questo tentativo.

[odracciR]

Originariamente inviato da FOXYLADY

Prova a fare un tentativo con killbox, lo trovi qui
http://www.bleepingcomputer.com/files/killbox.php
scompatta l'archivio e lancia l'eseguibile.

Nel box scrivi
C:\WINDOWS\System32\wservice.exe
e premi il pulsante con la x rossa.

Poi, non so se hai già provato a fare le scansioni in modalità provvisoria, nel caso fai anche questo tentativo.

Killbox dice che quel file non esiste. Dalla modalità provvisoria non cambia niente. Sempre off limits la cartella system32 e sempre inutili i tentativi di scan....

[FOXYLADY]

Eppure nel tuo log di hijackthis quel file è presente , ed è un exe associato ad un trojan, anche se mi sembra strano che crei tutti questi danni.
Dai tuoi sintomi potrebbe anche trattarsi del worm blaster, ma ormai è un infezione vecchia e McAfee avrebbe dovuto intercettarla facilmente.
Sinceramente, in attesa di altri pareri più esperti, io non so aiutarti di più.
In questo thread
http://www.hwupgrade.it/forum/showthread.php?t=1142673
è indicato un tool denominato Drweb Cureit, potresti provare con quello, ma probabilmente ti si riavvierà ancora il PC, comunque tentar non nuoce.

[odracciR]

Sembrerebbe che cureit abbia risolto. Ha fatto lo scan, non si è riavviato il pc mentre analizzava la cartella system32 e ha trovato un file che ha poi eliminato. Adesso posso di nuovo entrare nella cartella system32 di windows. Dovrebbe essere fatta

Nell'immagine qui sotto si può vedere il nome del file infetto...

http://img158.imageshack.us/img158/6416/trojanqp2.jpg


Mille grazie

[FOXYLADY]

Ottimo