Strane cartelle con caratteri cinesi che si creano da sole

[aletlinfo]

Buongiorno vi chiedo aiuto per risolvere questo strano mistero che ho su un pc Compaq 8000 Elite SFF con windows 7 pro 64bit e hard disk Seagate SSHD ST2000DX001 2TB

Questo pc apparentemente pulito e integro da circa 1 mese senza un motivo apparente in modo casuale e saltuario mentre ci si lavora crea da solo cartelle con caratteri cinesi o comunque strani. Le cartelle sono sempre vuote e si cancellano o spostano senza problemi.



Aggiungo che il pc è stato controllato a fondo: Non vi sono virus o software strani, non vi sono problemi con l'HD controllato con seatools sono state fatte scansioni con cd drweb e scansioni antivirus online e passati superantispyware, malwarebytes e combofix.

Qualcuno mi sa indicare come individuare la causa del problema?

allego anche log hijackthis

Logfile of Trend Micro HijackThis v2.0.5
Scan saved at 09:30:07, on 23/05/2016
Platform: Windows 7 SP1 (WinNT 6.00.3505)
MSIE: Internet Explorer v11.0 (11.00.9600.18315)


Boot mode: Normal

Running processes:
C:\Program Files (x86)\AnyDesk\AnyDesk.exe
C:\Program Files (x86)\Cobian Backup 11\cbInterface.exe
C:\Program Files (x86)\Citrix\ICA Client\concentr.exe
C:\Program Files (x86)\Citrix\ICA Client\redirector.exe
C:\Program Files (x86)\Common Files\Java\Java Update\jusched.exe
C:\Program Files (x86)\Common Files\Adobe\ARM\1.0\AdobeARM.exe
C:\Program Files (x86)\Citrix\Receiver\Receiver.exe
C:\Program Files (x86)\Citrix\SelfServicePlugin\SelfServicePlugin.exe
C:\Program Files (x86)\Citrix\ICA Client\wfcrun32.exe
C:\Program Files (x86)\Common Files\Java\Java Update\jucheck.exe
C:\Program Files (x86)\Google\Chrome\Application\chrome.exe
C:\Program Files (x86)\Google\Chrome\Application\chrome.exe
C:\Program Files (x86)\Google\Chrome\Application\chrome.exe
C:\Program Files (x86)\Google\Chrome\Application\chrome.exe
C:\Program Files (x86)\Internet Explorer\IEXPLORE.EXE
C:\Users\Angelo\Downloads\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page =

http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL =

http://go.microsoft.com/fwlink/p/?LinkId=255141
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL =

http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page =

http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page =

http://go.microsoft.com/fwlink/p/?LinkId=255141
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = C:\Windows

\SysWOW64\blank.htm
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =
O2 - BHO: Java(tm) Plug-In SSV Helper - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} -

C:\Program Files (x86)\Java\jre1.8.0_40\bin\ssv.dll
O2 - BHO: Adobe PDF Conversion Toolbar Helper - {AE7CD045-E861-484f-8273-

0445EE161910} - C:\Program Files (x86)\Common Files\Adobe\Acrobat\ActiveX

\AcroIEFavClient.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} -

C:\Program Files (x86)\Java\jre1.8.0_40\bin\jp2ssv.dll
O2 - BHO: SmartSelect - {F4971EE7-DAA0-4053-9964-665D8EE6A077} - C:\Program Files

(x86)\Common Files\Adobe\Acrobat\ActiveX\AcroIEFavClient.dll
O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - C:\Program Files

(x86)\Common Files\Adobe\Acrobat\ActiveX\AcroIEFavClient.dll
O4 - HKLM\..\Run: [Adobe Acrobat Speed Launcher] "C:\Program Files (x86)\Adobe

\Acrobat 9.0\Acrobat\Acrobat_sl.exe"
O4 - HKLM\..\Run: [Cobian Backup 11 interface] "C:\Program Files (x86)\Cobian

Backup 11\cbInterface.exe" -service
O4 - HKLM\..\Run: [ConnectionCenter] "C:\Program Files (x86)\Citrix\ICA Client

\concentr.exe" /startup
O4 - HKLM\..\Run: [Redirector] "C:\Program Files (x86)\Citrix\ICA Client

\redirector.exe" /startup
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files (x86)\Common Files\Java

\Java Update\jusched.exe"
O4 - HKLM\..\Run: [Adobe ARM] "C:\Program Files (x86)\Common Files\Adobe\ARM

\1.0\AdobeARM.exe"
O4 - HKLM\..\Run: [StartCCC] "C:\Program Files (x86)\AMD\ATI.ACE\Core-Static

\amd64\CLIStart.exe" MSRun
O4 - Global Startup: AnyDesk.lnk = C:\Program Files (x86)\AnyDesk\AnyDesk.exe
O8 - Extra context menu item: Aggiungi a PDF esistente - res://C:\Program Files

(x86)\Common Files\Adobe\Acrobat\ActiveX\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: Converti destinazione link in Adobe PDF - res://C:

\Program Files (x86)\Common Files\Adobe\Acrobat\ActiveX

\AcroIEFavClient.dll/AcroIECaptureSelLinks.html
O8 - Extra context menu item: Converti destinazione link in PDF esistente -

res://C:\Program Files (x86)\Common Files\Adobe\Acrobat\ActiveX

\AcroIEFavClient.dll/AcroIEAppendSelLinks.html
O8 - Extra context menu item: Converti in Adobe PDF - res://C:\Program Files

(x86)\Common Files\Adobe\Acrobat\ActiveX\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:

\PROGRA~2\MICROS~1\Office14\EXCEL.EXE/3000
O9 - Extra button: Ricerche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:

\PROGRA~2\MICROS~1\OFFICE11\REFIEBAR.DLL
O11 - Options group: [ACCELERATED_GRAPHICS] Accelerated graphics
O18 - Filter: application/x-ica - {CFB6322E-CC85-4d1b-82C7-893888A236BC} - C:

\Program Files (x86)\Citrix\ICA Client\IcaMimeFilter.dll
O18 - Filter: application/x-ica; charset=euc-jp - {CFB6322E-CC85-4d1b-82C7-

893888A236BC} - C:\Program Files (x86)\Citrix\ICA Client\IcaMimeFilter.dll
O18 - Filter: application/x-ica; charset=ISO-8859-1 - {CFB6322E-CC85-4d1b-82C7-

893888A236BC} - C:\Program Files (x86)\Citrix\ICA Client\IcaMimeFilter.dll
O18 - Filter: application/x-ica; charset=MS936 - {CFB6322E-CC85-4d1b-82C7-

893888A236BC} - C:\Program Files (x86)\Citrix\ICA Client\IcaMimeFilter.dll
O18 - Filter: application/x-ica; charset=MS949 - {CFB6322E-CC85-4d1b-82C7-

893888A236BC} - C:\Program Files (x86)\Citrix\ICA Client\IcaMimeFilter.dll
O18 - Filter: application/x-ica; charset=MS950 - {CFB6322E-CC85-4d1b-82C7-

893888A236BC} - C:\Program Files (x86)\Citrix\ICA Client\IcaMimeFilter.dll
O18 - Filter: application/x-ica; charset=UTF-8 - {CFB6322E-CC85-4d1b-82C7-

893888A236BC} - C:\Program Files (x86)\Citrix\ICA Client\IcaMimeFilter.dll
O18 - Filter: application/x-ica; charset=UTF8 - {CFB6322E-CC85-4d1b-82C7-

893888A236BC} - C:\Program Files (x86)\Citrix\ICA Client\IcaMimeFilter.dll
O18 - Filter: application/x-ica;charset=euc-jp - {CFB6322E-CC85-4d1b-82C7-

893888A236BC} - C:\Program Files (x86)\Citrix\ICA Client\IcaMimeFilter.dll
O18 - Filter: application/x-ica;charset=ISO-8859-1 - {CFB6322E-CC85-4d1b-82C7-

893888A236BC} - C:\Program Files (x86)\Citrix\ICA Client\IcaMimeFilter.dll
O18 - Filter: application/x-ica;charset=MS936 - {CFB6322E-CC85-4d1b-82C7-

893888A236BC} - C:\Program Files (x86)\Citrix\ICA Client\IcaMimeFilter.dll
O18 - Filter: application/x-ica;charset=MS949 - {CFB6322E-CC85-4d1b-82C7-

893888A236BC} - C:\Program Files (x86)\Citrix\ICA Client\IcaMimeFilter.dll
O18 - Filter: application/x-ica;charset=MS950 - {CFB6322E-CC85-4d1b-82C7-

893888A236BC} - C:\Program Files (x86)\Citrix\ICA Client\IcaMimeFilter.dll
O18 - Filter: application/x-ica;charset=UTF-8 - {CFB6322E-CC85-4d1b-82C7-

893888A236BC} - C:\Program Files (x86)\Citrix\ICA Client\IcaMimeFilter.dll
O18 - Filter: application/x-ica;charset=UTF8 - {CFB6322E-CC85-4d1b-82C7-

893888A236BC} - C:\Program Files (x86)\Citrix\ICA Client\IcaMimeFilter.dll
O18 - Filter hijack: ica - {CFB6322E-CC85-4d1b-82C7-893888A236BC} - C:\Program

Files (x86)\Citrix\ICA Client\IcaMimeFilter.dll
O23 - Service: @%SystemRoot%\system32\Alg.exe,-112 (ALG) - Unknown owner - C:

\Windows\System32\alg.exe (file missing)
O23 - Service: AMD External Events Utility - Unknown owner - C:\Windows

\system32\atiesrxx.exe (file missing)
O23 - Service: AnyDesk Service (AnyDesk) - Unknown owner - C:\Program Files

(x86)\AnyDesk\AnyDesk.exe
O23 - Service: Behavior Detection System - Quick Heal Technologies (P) Ltd. - C:

\Program Files\Quick Heal\Quick Heal Total Security\bdssvc.exe
O23 - Service: Cobian Backup 11 Servizio Volume Shadow Copy (cbVSCService11) -

CobianSoft, Luis Cobian - C:\Program Files (x86)\Cobian Backup

11\cbVSCService11.exe
O23 - Service: Cobian Backup 11 Gravity (CobianBackup11) - Luis Cobian, CobianSoft

- C:\Program Files (x86)\Cobian Backup 11\cbService.exe
O23 - Service: Core Mail Protection - Quick Heal Technologies (P) Ltd. - C:\Program

Files\Quick Heal\Quick Heal Total Security\EMLPROXY.EXE
O23 - Service: Core Scanning Server - Quick Heal Technologies (P) Ltd. - C:\Program

Files\Quick Heal\Quick Heal Total Security\SAPISSVC.EXE
O23 - Service: Core Scanning ServerEx - Quick Heal Technologies (P) Ltd. - C:

\Program Files\Quick Heal\Quick Heal Total Security\SAPISSVC.EXE
O23 - Service: @%SystemRoot%\system32\efssvc.dll,-100 (EFS) - Unknown owner - C:

\Windows\System32\lsass.exe (file missing)
O23 - Service: @%systemroot%\system32\fxsresm.dll,-118 (Fax) - Unknown owner - C:

\Windows\system32\fxssvc.exe (file missing)
O23 - Service: Servizio Google Update (gupdate) (gupdate) - Google Inc. - C:

\Program Files (x86)\Google\Update\GoogleUpdate.exe
O23 - Service: Servizio Google Update (gupdatem) (gupdatem) - Google Inc. - C:

\Program Files (x86)\Google\Update\GoogleUpdate.exe
O23 - Service: @%SystemRoot%\system32\ieetwcollectorres.dll,-1000

(IEEtwCollectorService) - Unknown owner - C:\Windows\system32\IEEtwCollector.exe

(file missing)
O23 - Service: @keyiso.dll,-100 (KeyIso) - Unknown owner - C:\Windows

\system32\lsass.exe (file missing)
O23 - Service: Mozilla Maintenance Service (MozillaMaintenance) - Mozilla

Foundation - C:\Program Files (x86)\Mozilla Maintenance Service

\maintenanceservice.exe
O23 - Service: @comres.dll,-2797 (MSDTC) - Unknown owner - C:\Windows

\System32\msdtc.exe (file missing)
O23 - Service: @%SystemRoot%\System32\netlogon.dll,-102 (Netlogon) - Unknown owner

- C:\Windows\system32\lsass.exe (file missing)
O23 - Service: Online Protection System - Quick Heal Technologies (P) Ltd. - C:

\Program Files\Quick Heal\Quick Heal Total Security\opssvc.exe
O23 - Service: @%systemroot%\system32\psbase.dll,-300 (ProtectedStorage) - Unknown

owner - C:\Windows\system32\lsass.exe (file missing)
O23 - Service: Quick Update Service - Quick Heal Technologies (P) Ltd. - C:\Program

Files\Quick Heal\Quick Heal Total Security\quhlpsvc.exe
O23 - Service: @%systemroot%\system32\Locator.exe,-2 (RpcLocator) - Unknown owner -

C:\Windows\system32\locator.exe (file missing)
O23 - Service: @%SystemRoot%\system32\samsrv.dll,-1 (SamSs) - Unknown owner - C:

\Windows\system32\lsass.exe (file missing)
O23 - Service: Total Security Helper Service WSC (ScanWscS) - Quick Heal

Technologies (P) Ltd. - C:\Program Files\Quick Heal\Quick Heal Total Security

\SCANWSCS.EXE
O23 - Service: Safe Browsing proxy service (ScProxySrv) - Quick Heal Technologies

(P) Ltd. - C:\Program Files\Quick Heal\Quick Heal Total Security\ScProxySrv.exe
O23 - Service: Core Browsing Protection (ScSecSvc) - Quick Heal Technologies (P)

Ltd. - C:\Program Files\Quick Heal\Quick Heal Total Security\ScSecSvc.exe
O23 - Service: @%SystemRoot%\system32\snmptrap.exe,-3 (SNMPTRAP) - Unknown owner -

C:\Windows\System32\snmptrap.exe (file missing)
O23 - Service: @%systemroot%\system32\spoolsv.exe,-1 (Spooler) - Unknown owner -

C:\Windows\System32\spoolsv.exe (file missing)
O23 - Service: @%SystemRoot%\system32\sppsvc.exe,-101 (sppsvc) - Unknown owner -

C:\Windows\system32\sppsvc.exe (file missing)
O23 - Service: @%SystemRoot%\system32\ui0detect.exe,-101 (UI0Detect) - Unknown

owner - C:\Windows\system32\UI0Detect.exe (file missing)
O23 - Service: @%SystemRoot%\system32\vaultsvc.dll,-1003 (VaultSvc) - Unknown owner

- C:\Windows\system32\lsass.exe (file missing)
O23 - Service: @%SystemRoot%\system32\vds.exe,-100 (vds) - Unknown owner - C:

\Windows\System32\vds.exe (file missing)
O23 - Service: @%systemroot%\system32\vssvc.exe,-102 (VSS) - Unknown owner - C:

\Windows\system32\vssvc.exe (file missing)
O23 - Service: @%SystemRoot%\system32\Wat\WatUX.exe,-601 (WatAdminSvc) - Unknown

owner - C:\Windows\system32\Wat\WatAdminSvc.exe (file missing)
O23 - Service: @%systemroot%\system32\wbengine.exe,-104 (wbengine) - Unknown owner

- C:\Windows\system32\wbengine.exe (file missing)
O23 - Service: @%Systemroot%\system32\wbem\wmiapsrv.exe,-110 (wmiApSrv) - Unknown

owner - C:\Windows\system32\wbem\WmiApSrv.exe (file missing)
O23 - Service: @%PROGRAMFILES%\Windows Media Player\wmpnetwk.exe,-101

(WMPNetworkSvc) - Unknown owner - C:\Program Files (x86)\Windows Media Player

\wmpnetwk.exe (file missing)

--
End of file - 12018 bytes

[x_Master_x]

Sembra che il problema nasca da Office, sulle cause o una possibile soluzione non ho trovato nessuna informazione. Assicurati che il programma sia aggiornato all'ultima versione con tutte le patch disponibili ( e sia ovviamente originale ) ed eventualmente prova a disabilitare il salvataggio automatico dalle impostazioni. "In modo casuale e saltuario mentre ci si lavora" usando Office immagino.

[aletlinfo]

Originariamente inviato da x_Master_x

Sembra che il problema nasca da Office, sulle cause o una possibile soluzione non ho trovato nessuna informazione. Assicurati che il programma sia aggiornato all'ultima versione con tutte le patch disponibili ( e sia ovviamente originale ) ed eventualmente prova a disabilitare il salvataggio automatico dalle impostazioni. "In modo casuale e saltuario mentre ci si lavora" usando Office immagino.

Grazie per la risposta @x_Master_x
Proverò a disabilitare il salvataggio automatico dagli applicativi office.
So che attualmente sopra c'è Office 2003 sp3 ed è stato installato temporaneamente Office 2010 e poi disinstallato subito. Non so se il 2003 abbia regolare licenza o meno me ne accerterò e vedrò come son messi gli aggiornamenti.

ps.scusa mi puoi spiegare come hai capito che la causa del problema sia office? dal log di hijackthis?

[x_Master_x]

Ho cercato sul web e la maggior parte delle persone crede a giusta causa che sia un virus. L'unica cosa in comune tra il tuo log e quello di un'altro con il tuo stesso problema é Office per questo é la mia prima ipotesi.

[tallines]

Ciao, sembra che tu sia infetto.........dal report risultato oltre 70 punti esclamativi gialli..........molte voci potrebbero fare riferimento forse ad applicazioni installate assieme al SO, ossia a programmi della casa madre Compaq........

W7 è pre-installato nel computer o è stato installato a parte ?

Tra le voci con il punto esclamativo :

C:\Program Files (x86)\AnyDesk\AnyDesk.exe

BHO: SmartSelect - {F4971EE7-DAA0-4053-9964-665D8EE6A077} - C:\Program Files

\AcroIEFavClient.dll/AcroIECaptureSelLinks.html

Come antivirus hai installato Quick Heal Total Security ?

E' un antivirus a pagamento e molti punti esclamativi riguardano queste voci che si ripetono molto spesso :

O23 - Service: Core Scanning Server - Quick Heal Technologies (P) Ltd. - C:\Program Files\Quick Heal\Quick Heal Total Security\SAPISSVC.EXE

O23 - Service: Core Scanning ServerEx - Quick Heal Technologies (P) Ltd. - C:\Program Files\Quick Heal\Quick Heal Total Security\SAPISSVC.EXE

O23 - Service: Core Browsing Protection (ScSecSvc) - Quick Heal Technologies (P) Ltd. - C:\Program Files\Quick Heal\Quick Heal Total Security\ScSecSvc.exe

molte voci strane che ricorrono frequentemente sono anche queste >

O18 - Filter: application/x-ica; charset.............

Gli scan sopprattutto con Combofix sono da fare in modalità provvisoria .

Sempre da provvisoria, prova a vedere cosa esce con AdwCleaner .

Se puoi riporta il file di AdwCleaner (R)

Le cartelle strane vengono create nella cartella Temp.............

Fai una pulizia dei file temporanei con Ccleaner, solo alla voce Pulizia e con Aft Cleaner .

E' uno standalone freeware, lo scarichi sul dekstop, lo avvi con il doppio click classico, metti la spunta alla voce > Select All e poi su Empty Selected .

[aletlinfo]

@x_Master_x
Ho disabilitato il salvataggio automatico su excel e word (di office usa esclusivamente questi due) vediamo se il problema si ripresenta o hai trovato realmente la causa.

Originariamente inviato da tallines

Ciao, sembra che tu sia infetto.........dal report risultato oltre 70 punti esclamativi gialli..........molte voci potrebbero fare riferimento forse ad applicazioni installate assieme al SO, ossia a programmi della casa madre Compaq........

Escludo infezioni @tallines ho controllati tutti sono software installati di proposito e sicuri (es.anydesk e quickheal).
Si windows è quello preistallato dal produttore.
Le cartelle strane le ho spostate io in quella temp, vengono create nelle cartelle dei documenti excel e word (per questo ritengo molto probabile la causa suggerita da x_Master_x