Olimpo Informatico

[giova78]

Salve a tutti .
Da un giorno all'altro, all'avvio del PC, mi compare un ulteriore utente cioe SYSTEM$.
Il PC non mi da particolari problemi, pero' volevo sapere se qualcuno e' entrato nel pc ed ha creato questo utente!.
Allego, non so e' utile un log di HJ.

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 20:21, on 2009-07-29
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP3 (6.00.2900.5512)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programmi\Avira\AntiVir Desktop\sched.exe
C:\Programmi\Avira\AntiVir Desktop\avguard.exe
C:\WINDOWS\system32\ccSetMgr.exe
C:\Programmi\NVIDIA Corporation\NetworkAccessManager\Apache Group\Apache2\bin\apache.exe
C:\Programmi\Java\jre6\bin\jqs.exe
C:\MSSQL7\binn\sqlservr.exe
C:\Programmi\NVIDIA Corporation\NetworkAccessManager\bin\nSvcLog.exe
C:\Programmi\NVIDIA Corporation\NetworkAccessManager\Apache Group\Apache2\bin\apache.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\Programmi\NVIDIA Corporation\NetworkAccessManager\bin\nSvcIp.exe
C:\WINDOWS\SamsungSM\PanelMgr\ssmmgr.exe
C:\PROGRA~1\Nokia\NOKIAP~1\LAUNCH~1.EXE
C:\Programmi\Avira\AntiVir Desktop\avgnt.exe
C:\Programmi\Messenger\msmsgs.exe
C:\Programmi\Nokia\Nokia PC Suite 6\PcSync2.exe
C:\Programmi\File comuni\PCSuite\Services\ServiceLayer.exe
C:\PROGRA~1\FILECO~1\Nokia\MPAPI\MPAPI3s.exe
C:\Programmi\Trend Micro\HijackThis\HijackThis.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Programmi\Mozilla Firefox\firefox.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.it/
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Programmi\File comuni\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: Java(tm) Plug-In SSV Helper - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programmi\Java\jre6\bin\ssv.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Programmi\Java\jre6\bin\jp2ssv.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Programmi\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
O4 - HKLM\..\Run: [SamsungSM PanelMgr] C:\WINDOWS\SamsungSM\PanelMgr\ssmmgr.exe /autorun
O4 - HKLM\..\Run: [PCSuiteTrayApplication] C:\PROGRA~1\Nokia\NOKIAP~1\LAUNCH~1.EXE -startup
O4 - HKLM\..\Run: [avgnt] "C:\Programmi\Avira\AntiVir Desktop\avgnt.exe" /min
O4 - HKLM\..\Run: [ISUSPM Startup] "C:\Programmi\File comuni\InstallShield\UpdateService\ISUSPM.exe" -startup
O4 - HKCU\..\Run: [MSMSGS] "C:\Programmi\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [PcSync] C:\Programmi\Nokia\Nokia PC Suite 6\PcSync2.exe /NoDialog
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVIZIO LOCALE')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVIZIO DI RETE')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\FILECO~1\Skype\SKYPE4~1.DLL
O20 - Winlogon Notify: !SASWinLogon - C:\Programmi\SUPERAntiSpyware\SASWINLO.dll
O23 - Service: Avira AntiVir Scheduler (AntiVirScheduler) - Avira GmbH - C:\Programmi\Avira\AntiVir Desktop\sched.exe
O23 - Service: Avira AntiVir Guard (AntiVirService) - Avira GmbH - C:\Programmi\Avira\AntiVir Desktop\avguard.exe
O23 - Service: Symantec Setting Managers (DefWatchs) - Symantec Corporation - C:\WINDOWS\system32\ccSetMgr.exe
O23 - Service: Forceware Web Interface (ForcewareWebInterface) - Apache Software Foundation - C:\Programmi\NVIDIA Corporation\NetworkAccessManager\Apache Group\Apache2\bin\apache.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Programmi\Java\jre6\bin\jqs.exe
O23 - Service: NBService - Nero AG - C:\Programmi\Nero\Nero 7\Nero BackItUp\NBService.exe
O23 - Service: ForceWare IP service (nSvcIp) - NVIDIA Corporation - C:\Programmi\NVIDIA Corporation\NetworkAccessManager\bin\nSvcIp.exe
O23 - Service: ForceWare user log service (nSvcLog) - NVIDIA Corporation - C:\Programmi\NVIDIA Corporation\NetworkAccessManager\bin\nSvcLog.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: Program Compatibility Assistan (PctaSvc) - Unknown owner - C:\Programmi\R_Server\Slsvc.exe (file missing)
O23 - Service: ServiceLayer - Nokia. - C:\Programmi\File comuni\PCSuite\Services\ServiceLayer.exe

--
End of file - 4551 bytes



Vi sarei grato se mi rispondeste!!!!
Ciao Giova 78.

[bdoriano]

Ciao giova78,

Fai questa scansione con SystemScan, carica il log su WikiSend e posta il Forum Link che ti viene assegnato.

[ste_95]

Il log è pulito, e l'utente è legittimo. Cito da axnet.it:

[bdoriano]

Ciao ste_95,

credo che giova78 si riferisca al fatto di trovare un utente sconosciuto in fase di accesso al pc.

L'utente SYSTEM, nei processi, è legittimo, ma trovare un utente SYSTEM$ all'accensione mi pare quanto meno curioso.

[giova78]

Ciao bdoriano.
Innanzi tutto ti ringrazio per avermi risposto !!!!!!!
Ho seguito le tue indicazioni........... ecco il link
report.txt
Ciao Ciao

[bdoriano]

Prego.

[Riverside]

[bdoriano]

[Riverside]

[giova78]

Ciao a tutti!!!!

Per prima cosa, come mi avete suggerito, ho limitato i poteri dell' utente system$.

A Bdoriano:

si effettivamente avevo AVG che ho sostituito con Avira.
il fatto è che nonostante lo abbia eliminato, in qualche modo c'è sempre una sua traccia.


A Riverside:
ringrazio anche te per l'aiuto che sicuramente mi sarà utile ancora una volta!!!!

Cmq nel log di HJ la voce:
O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Programmi\File comuni\Symantec Shared\ccSetMgr.exe ho provato a fixarla, anche in modalità provvisoria, ma ad ogni scansione ricompare puntualmente.

Norman 1.log

Norman 2.log

ComboFix.txt

hijackthis.log

Ciao Giova

[giova78]

Ragazzi adesso ho un ulteriore problema.
Quando riavvio normalmente il pc mi compare questa scritta :

Your SQL Server installation is either corrupt or has been tampered
with (unknown package ID), please rerun Setup...

[Riverside]

[giova78]

Scusa mi era sfuggito.....
Cmq non ho installato ne disinstallato nessun programma.
Per quanto riguarda i programmi, di craccati non ne ho anche perche' il pc lo uso poco e non particolari esigenze.
Ciao ciao

[giova78]

P.S.
Avevo AVG craccato, ma l'ho disinstallato molto tempo fa quando, sotto tuo suggerimento, installai Avira !!!!!!!

[giova78]

Ciao Riverside!
allora ti chise e' possibile riprendere il lavoro che stavamo facendo !!!!
Ciao ciao !!!

[Riverside]

[giova78]

ecco i log di combofix e Hj

ComboFix.txt

hijackthis.log

Ciao ciao

[Riverside]

Allora, vai in Windows Upadate, intanto, e scarica tutti gli aggiornamenti disponbili (I.E., per esempio, non è aggiornato).
Per la questione dell'utente System$ (se non sbaglio gli avevi abbassato i privilegi) laasciamo tutto come è (vediamo dopo) però ho ho bisogno che tu mi dica (se ti ricordi) cosa hai installato di recente.
Quell'utente è stato creato da qualcosa e mi piacerebbe capire da cosa (un pò per risolvere la tua questione ed un pò perché, trattandosi di una cosa nuova e che non mi è mai capitato di vedere, mi intriga).
Non è che per caso hai installato dei software di virtualizzazione?.
Il computer viene utilizzato solo in casa e per uso personale?.

Quando hai scaricato tutti gli aggiornamernti, allega un nuovo log di Hijackthis.

[giova78]

ciao riverside
ti ricordi bene i poteri di Sistem$ già li limitammo l'altra volta.

Per navigare uso Firefox perciò non aggiorno I.E. cmq
non riesco a scaricare gli aggiornamenti.
in windows update quandocerco di scaricarli mi dice:

File necessari per l'utilizzo di Windows Update non sono più registrati o installati nel computer in uso. Per continuare:Registra o reinstalla i file automaticamente (scelta consigliata)

continuo, clicco sulla scelta consigliata, mi cerca gli ultimi aggiornamenti e poi mi compare questo messaggio:

Impossibile visualizzare la pagina richiesta a causa di un errore. Le risorse seguenti possono essere utili per la risoluzione del problema

ti ricordo, cmq, e non so se c'entra qualcosa che ho anche un problema con MSSQL, infatti all'avvio del pc e dula navigazione mi compare continuamente questo messaggio:

Your SQL Server installation is either corrupt or has been tampered
with (unknown package ID), please rerun Setup...

di recente non ho installato nulla.
Per quanto riguarda il software di virtualizzazione, se ti riferisci ad un programma che ti permette di far girare un altro S.O. , si ne ho uno e' "Sun xVM Virtualbox" ma l'ho gia' installato da un bel pezzo !!!!

Per continuare a risponderti, il pc viene utilizzato solo a casa e per uso personale

Ciao ciao

[Riverside]

Andiamo bene:
> un utente che non si sa da dove salti fuori;
> Windows Update che si è perso i file (quindi sistema non aggiornabile);
> SQL Server che si è corrotto.
Scusa Giova, per i miracoli mi sto attrezzando .... ma ci vorrà del tempo
Suggerimento: passa alla formattazione, fai, decisamente prima.
E' totalmente inutile andare per tentativi.