Olimpo Informatico

[salvin54]

Prima di tutto mi presento, mi chiamo Salvatore e sono un senior, nel senso che ho incominciato con le audit fine anni 60, e poi nei primi anni 70 con le schede perforate. Nonostante ciò sono in confidenza con il p.c. Andiamo al mio problema. da qualche giorno mi compare al centro del portatile, con il quale ci lavoro, quanto riportato in oggetto e cioè: services.exe - Errore di applicazione -L'istruzione a "0x00c021d2" ha fatto riferimento alla memoria a "0x00000000". La memoria non poteva essere "written" -
Fare clic su OK per terminare l'applicazione
Fare clic su Annulla per eseguire il debug dell'applicazione.

Se clicco su ok o su annulla, appare un messaggio di errore che mi dice che il sistema si spegnerà entro 60 secondi e poi si riavvierà. Se invece sposto il segnale da un lato, come in questo momento, posso lavorare tranquillamente per ore. Quando debbo chiudere il pc mi debbo sorbire lo spegnimento ed il riavvio. Non sono un esperto in software, ho tentato tutto quello che io ed un caro amico eravamo capaci di fare. Ma non è cambiato nulla. L'assistenza mi dice che mi bisogna formattare. Io personalmente sono contrario in quanto ho diversi programmi paghe-contabilità etc. con i quali ci lavoro. Ho scaricato regcleaner, l'ho fatto girare diverse volte, senza risultati. Ho disinstallato tutti i programmi che non uso, ho fatto girare l'antivirus (active shield), antispiwire, ed alche Kaspersky on line. Non sono riuscito a sistemare quest'errore di applicazione. Help, Help, Help.. Grazie

[Cybion]

Ciao, salvin54, benvenuto!!

Innanzitutto posta qui un log di HiJackThis: se non hai già il programma puoi scaricarlo da qui

Da quel che dici, probabilmente non hai bisogno di queste istruzioni, ma nel dubbio te le posto ugualmente

Estrai il contenuto del file zippato in una cartella permanente, non cartelle temporanee o sul desktop, perchè il programma crea una cartella di backup delle chiavi eliminate e non potrebbe farlo oppure si correrebbe il rischio di cancellazione, se installato in cartelle temporanee!!!

Poi procedi come segue:
1. Chiudi tutte le applicazioni aperte
2. Avvia HiJackThis
3. Clicca su DO A SYSTEM SCAN AND SAVE LOGFILE
4. Attendi che finisca la scansione e che si apra in automatico un foglio di blocco note (il logfile appunto)
5. Copia TUTTO il contenuto del logfile.
6. Incolla qui di seguito il log così ottenuto

[salvin54]

[niklair]

ciao,

[salvin54]

[Orange]

ciao, benvenuto anche dalla parte mia!
ti rispondo io, se non ti spiace..

disattiva il ripristino di configurazione del sistema
avvia in modalità provvisoria
avvia HiJackThis
seleziona Do a system scan only
metti la spunta alle voci segnalate e premi Fix cheked


O2 - BHO: Poly HTML Filter BHO - {0140DF95-9128-4053-AE72-F43F0CFCA062} - (no file)
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
O23 - Service: LoadDLLServ - Unknown owner - C:\Documents and Settings\Administrator\Dati applicazioni\SysServDLL32.exe

trova ed elimina la cartella SysServDLL32.exe
riavvia il PC

rifai la scansione con HiJack come spiegato sopra e posta qui il log

[niklair]

.... grazie Orange, scusate

[salvin54]

[Orange]

ciao
la cosa strana è che il log è pulito ora...
che razza di bestia è mai??

prova a scaricare VirIT e fai lo scan completo (aggiornalo, prima di usarlo)
vediamo se riusciamo a stanarla...(sempre se di virus si tratta...)

posta il log

[salvin54]

Logfile of Trend Micro HijackThis v2.0.0 (BETA)
Scan saved at 10.25.46, on 27/04/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programmi\File comuni\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\VEXPLITE\viritsvc.exe
C:\Programmi\Conexant\AccessRunner ADSL\CnxDslTb.exe
C:\WINDOWS\Hcontrol.exe
C:\Programmi\Adobe\Photoshop Album Starter Edition\3.0\Apps\apdproxy.exe
C:\VEXPLITE\MONLITE.EXE
C:\Programmi\Skype\Phone\Skype.exe
C:\Programmi\Messenger\msmsgs.exe
C:\Programmi\Google\GoogleToolbarNotifier\1.2.1128.5462\GoogleToolbarNotifier.exe
C:\Programmi\WinZip\WZQKPICK.EXE
C:\WINDOWS\ATKOSD.exe
C:\Programmi\Skype\Plugin Manager\SkypePM.exe
C:\Programmi\Outlook Express\msimn.exe
C:\PROGRA~1\WINZIP\winzip32.exe
C:\Documents and Settings\Administrator\Impostazioni locali\Temp\HiJackThis_v2.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.tgsoft.it/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
R3 - URLSearchHook: &Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - (no file)
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmi\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programmi\google\googletoolbar1.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programmi\google\googletoolbar1.dll
O4 - HKLM\..\Run: [AtiPTA] atiptaxx.exe
O4 - HKLM\..\Run: [CnxDslTaskBar] "C:\Programmi\Conexant\AccessRunner ADSL\CnxDslTb.exe"
O4 - HKLM\..\Run: [Hcontrol] C:\WINDOWS\Hcontrol.exe
O4 - HKLM\..\Run: [Adobe Photo Downloader] "C:\Programmi\Adobe\Photoshop Album Starter Edition\3.0\Apps\apdproxy.exe"
O4 - HKLM\..\Run: [VIRIT LITE MONITOR] C:\VEXPLITE\MONLITE.EXE
O4 - HKCU\..\Run: [Skype] "C:\Programmi\Skype\Phone\Skype.exe" /nosplash /minimized
O4 - HKCU\..\Run: [MSMSGS] "C:\Programmi\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [swg] C:\Programmi\Google\GoogleToolbarNotifier\1.2.1128.5462\GoogleToolbarNotifier.exe
O4 - Global Startup: Avvio veloce di Adobe Reader.lnk = C:\Programmi\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: WinZip Quick Pick.lnk = C:\Programmi\WinZip\WZQKPICK.EXE
O8 - Extra context menu item: Add banner url(s) to AdsCleaner - C:\Programmi\AdsCleaner Trial\System\Scripts\off_banner.htm
O8 - Extra context menu item: Add selected links to Link Container - C:\Programmi\AdsCleaner Trial\System\Scripts\off_collector_sel.htm
O8 - Extra context menu item: Bookmark all links in AdsCleaner - C:\Programmi\AdsCleaner Trial\System\Scripts\off_all.htm
O8 - Extra context menu item: Bookmark selected link(s) in AdsCleaner - C:\Programmi\AdsCleaner Trial\System\Scripts\off_sel.htm
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O8 - Extra context menu item: Open all links in new windows - C:\Programmi\AdsCleaner Trial\System\Scripts\off_open_all.htm
O8 - Extra context menu item: Open selected link(s) in new windows - C:\Programmi\AdsCleaner Trial\System\Scripts\off_open_sel.htm
O8 - Extra context menu item: Say to AdsCleaner Team about banner - C:\Programmi\AdsCleaner Trial\System\Scripts\off_report_ad.htm
O8 - Extra context menu item: Show domain links - C:\Programmi\AdsCleaner Trial\System\Scripts\off_domain_links.htm
O9 - Extra button: PalTalk - {4EAFEF58-EEFA-4116-983D-03B49BCBFFFE} - C:\Programmi\Paltalk Messenger\Paltalk.exe (file missing)
O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204
O17 - HKLM\System\CCS\Services\Tcpip\..\{CBF5FA85-50AB-4D7D-8C6D-5472C23A561B}: NameServer = 193.70.152.15 193.70.152.25
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\FILECO~1\Skype\SKYPE4~1.DLL
O22 - SharedTaskScheduler: Precaricatore Browseui - {438755C2-A8BA-11D1-B96B-00A0C90312E1} - C:\WINDOWS\system32\browseui.dll
O22 - SharedTaskScheduler: Daemon di cache delle categorie di componenti - {8C7461EF-2B13-11d2-BE35-3078302C2030} - C:\WINDOWS\system32\browseui.dll
O23 - Service: ASP.NET State Service (aspnet_state) - Unknown owner - C:\WINDOWS\Microsoft.NET\Framework\v2.0.50727\aspnet_state.exe (file missing)
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: Active Virus Shield (AVP) - AOL - C:\Programmi\AOL\Active Virus Shield\avp.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Programmi\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: Servizio iPod (iPod Service) - Unknown owner - C:\Programmi\iPod\bin\iPodService.exe (file missing)
O23 - Service: Virit eXplorer Lite (viritsvclite) - TG Soft Sas www.tgsoft.it - C:\VEXPLITE\viritsvc.exe

--
End of file - 5363 bytes
Anche in questa occasione ho eseguito quanto da te indicatomi. Ho scaricato l'antivirus, il quale ha rimosso 2 trojan (ti allego sotto il log) ed in più inizialmente mi ha dato questo messaggio che ti riporto per intero:
pe386 - win23 I2x files loader -\??\C:\windows\system32\Izx32.sys
Diceva che era un probabile virus e lo inviato alla società produttrice che mi dovrebbe rispondere.
VirIT eXplorer Lite Log

[SCANSIONE DELLA MEMORIA]
OK
[SCANSIONE DELLA MEMORIA]
[Hidden Services]
pe386 - Win23 lzx files loader - \??\C:\WINDOWS\system32\lzx32.sys

OK
--------------------------------------------------------
27/04/2007 - 09:34:19

[SCANSIONE DEL REGISTRO]
OK

[C:]
MASTER BOOT RECORD: OK
BOOT SECTOR: OK

C:\Documents and Settings\Administrator\Desktop\Documenti vecchia cartella\Backup\Collegamenti desktop inutilizzati\explorer.lnk Infetto da Trojan.Win32.Agent.SP
* * * RIMOSSO * * *
C:\RECYCLER\S-1-5-21-1993962763-688789844-1343024091-500\Dc129.exe Infetto da Trojan.Win32.Agent.AJJ
* * * RIMOSSO * * *

Aspetto buone notizie. Grazie anticipate. Ciao.

[Orange]

[salvin54]

Logfile of The Avenger version 1, by Swandog46
Running from registry key:
\Registry\Machine\System\CurrentControlSet\Services\upwocvoe

*******************

Script file located at: \??\C:\snbhutqj.txt
Script file opened successfully.

Script file read successfully

Backups directory opened successfully at C:\Avenger

*******************

Beginning to process script file:

Driver PE386 unloaded successfully.
Program C:\Rustbfix\2run.bat successfully set up to run once on reboot.

Completed script processing.

*******************

Finished! Terminate.

Fatto!! Speriamo che ci sei riuscito. Attendo notizie con aspettazione. Grazie infinite. Ciao.

[salvin54]

In questo momento on-line mi è arrivata la rispota della Lite, la quale ha affermato che quello di stamattina era un virus e la rimosso. Speriamo che era quello che infettava il sistema. Aspetto notizie. Ciao.

[Orange]

[salvin54]

************************* Rustock.b-fix -- By ejvindh *************************
27/04/2007 16.24.32,63

No Rustock.b-rootkits found

******************************* End of Logfile ********************************

Fatto. Fino ad ora non mi è più riapparso l'errore, speriamo che sia stato eliminato. Dammi una certezza. Ciao.

[Orange]

l'ha eliminato prima VirIt

dovresti essere a posto.

[salvin54]

Penso proprio di si. Grazie a te Orange ed a tutti gli altri. A risentirci