Problema - Avvio Firefox in automatico

[mienos]

Da un pò di tempo a questa parte ho notato che all'avvio di Windows (ho windows 7), firefox risulta avviato in automatico. Mi spiego meglio: Nel task manager di windows è sempre attivo un processo di firefox che occupa circa 6/7mb di memoria.

La cosa strana è che terminando il processo tramite task manager, si avviano un numero imprecisato di processi chiamati "Open USB Device.exe". Dopo pochissimo tempo, questi processi si chiudono automaticamente e ricompare il processo di firefox da 6/7 mb.

Dimenticavo, utilizzo Firefox 3.5.5 con i segueti compontenti aggiuntivi: Adblock Plus 1.1.1 - Google Toolbar - Pc Sync 2 - Search Preview 4.0

Sapete darmi qualche spiegazione???

Vi ringrazio in anticipo per la risposta.

[booty island]

Inviato da mienos

Da un pò di tempo a questa parte ho notato che all'avvio di Windows (ho windows 7), firefox risulta avviato in automatico. Mi spiego meglio: Nel task manager di windows è sempre attivo un processo di firefox che occupa circa 6/7mb di memoria.

La cosa strana è che terminando il processo tramite task manager, si avviano un numero imprecisato di processi chiamati "Open USB Device.exe". Dopo pochissimo tempo, questi processi si chiudono automaticamente e ricompare il processo di firefox da 6/7 mb.

Dimenticavo, utilizzo Firefox 3.5.5 con i segueti compontenti aggiuntivi: Adblock Plus 1.1.1 - Google Toolbar - Pc Sync 2 - Search Preview 4.0

Sapete darmi qualche spiegazione???

Vi ringrazio in anticipo per la risposta.

Avvia la Configurazione di Sistema (msconfig su esegui o nel prompt) e vai nella sezione Avvio e Servizi e controlla tutto quello ritieni NON idoneo (Spunta Nascondi i servizi MS)..

Se hai dei dubbi fai così:
Scarica HiJackThis e incolla il log quà nel forum.

Ovviamente una scansione con un valido antivirus aggiornato (Antivir per esempio) è d'obbligo.

Cominciamo così poi man mano vediamo

[mienos]

Premesso che ho già effettuato diverse scansioni con Avira Personal, e con Spybot senza risultati. Ora ho provato con HijackThis. Questo è il log, non sono per niente pratico di questo programma.

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 13:48:12, on 06/12/2009
Platform: Unknown Windows (WinNT 6.01.3504)
MSIE: Internet Explorer v8.00 (8.00.7600.16385)
Boot mode: Normal

Running processes:
C:\Windows\system32\Dwm.exe
C:\Windows\Explorer.EXE
C:\Windows\system32\taskhost.exe
C:\Program Files\Avira\AntiVir Desktop\avgnt.exe
C:\Program Files\Realtek\Audio\HDA\RtHDVCpl.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Windows\system32\SearchFilterHost.exe
C:\Users\Simone\Downloads\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Int ernet Settings,ProxyOverride = *.local
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\Program Files\Spybot - Search & Destroy\SDHelper.dll
O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file)
O2 - BHO: Guida per l'accesso a Windows Live ID - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Common Files\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files\Java\jre6\bin\jp2ssv.dll
O4 - HKLM\..\Run: [avgnt] "C:\Program Files\Avira\AntiVir Desktop\avgnt.exe" /min
O4 - HKLM\..\Run: [RTHDVCPL] C:\Program Files\Realtek\Audio\HDA\RtHDVCpl.exe -s
O4 - HKLM\..\Policies\Explorer\Run: [wfxload.exe] C:\Windows\Object Desktop\Open USB Device.exe
O4 - HKCU\..\Policies\Explorer\Run: [wfxload.exe] C:\Windows\Object Desktop\Open USB Device.exe
O4 - HKUS\S-1-5-19\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /autoRun (User 'SERVIZIO LOCALE')
O4 - HKUS\S-1-5-19\..\RunOnce: [mctadmin] C:\Windows\System32\mctadmin.exe (User 'SERVIZIO LOCALE')
O4 - HKUS\S-1-5-20\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /autoRun (User 'SERVIZIO DI RETE')
O4 - HKUS\S-1-5-20\..\RunOnce: [mctadmin] C:\Windows\System32\mctadmin.exe (User 'SERVIZIO DI RETE')
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:\PROGRA~1\MICROS~3\Office12\EXCEL.EXE/3000
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~3\Office12\REFIEBAR.DLL
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\Program Files\Spybot - Search & Destroy\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search && Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\Program Files\Spybot - Search & Destroy\SDHelper.dll
O10 - Unknown file in Winsock LSP: c:\program files\common files\microsoft shared\windows live\wlidnsp.dll
O10 - Unknown file in Winsock LSP: c:\program files\common files\microsoft shared\windows live\wlidnsp.dll
O13 - Gopher Prefix:
O23 - Service: Avira AntiVir Scheduler (AntiVirScheduler) - Avira GmbH - C:\Program Files\Avira\AntiVir Desktop\sched.exe
O23 - Service: Avira AntiVir Guard (AntiVirService) - Avira GmbH - C:\Program Files\Avira\AntiVir Desktop\avguard.exe
O23 - Service: Apple Mobile Device - Apple Inc. - C:\Program Files\Common Files\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
O23 - Service: Ati External Event Utility - ATI Technologies Inc. - C:\Windows\system32\Ati2evxx.exe
O23 - Service: Bonjour Service - Apple Inc. - C:\Program Files\Bonjour\mDNSResponder.exe
O23 - Service: Servizio iPod (iPod Service) - Apple Inc. - C:\Program Files\iPod\bin\iPodService.exe
O23 - Service: lxcr_device - - C:\Windows\system32\lxcrcoms.exe
O23 - Service: Nero BackItUp Scheduler 4.0 - Nero AG - C:\Program Files\Common Files\Nero\Nero BackItUp 4\NBService.exe
O23 - Service: O&O Defrag - O&O Software GmbH - C:\Windows\system32\oodag.exe
O23 - Service: SBSD Security Center Service (SBSDWSCService) - Safer Networking Ltd. - C:\Program Files\Spybot - Search & Destroy\SDWinSec.exe
O23 - Service: ServiceLayer - Nokia - C:\Program Files\PC Connectivity Solution\ServiceLayer.exe
O23 - Service: TomTomHOMEService - TomTom - C:\Program Files\TomTom HOME 2\TomTomHOMEService.exe

--
End of file - 5060 bytes

[booty island]

Il problema è questo:

O4 - HKLM\..\Policies\Explorer\Run: [wfxload.exe] C:\Windows\Object Desktop\Open USB Device.exe
O4 - HKCU\..\Policies\Explorer\Run: [wfxload.exe] C:\Windows\Object Desktop\Open USB Device.exe

Probabilmente non hai installato nulla di Stardock (Object Desktop) e comunque non lo farebbe in quel percorso..
Quà ne parlano:
http://209.85.229.132/search?q=cache...t&client=opera

e quà:

http://www.malwarebytes.org/forums/l...hp/t31653.html

Segui passo passo quello descritto nel forum di Malwarebytes e guarda se riesci.

Se proprio te la vedi brutta cancella la directory Object Desktop (e relativo contenuto) in C:\Windows\Object Desktop\Open USB Device.exe e ogni riferimento ad esso anche nel registro di Windows (Start - Esegui - Regedit - F3 e cerca Open USB Device.exe).

[mienos]

Sto eseguento la procedura di MalwareBytes, ma per scrupolo sono anche andato a cercare la certella che dicevi in C:\windows ma non c'è, e neanche nel registro ci sono riferimenti ad Open USB Device.exe

[mienos]

Procedura finita.

Lo "Step 4" non va, non c'è modo di far funzionare il RootRepeal. Sono passato allo "Step 5", sono stati compilati i due log ma mi sfugge quest'ultima parte:

"Reply with copy of the Eset scan log
RootRepeal log
OTL.TXT
Extras.txt"

[booty island]

In che senso non và RootRepeal?
Che errori dà? Hai avviato come amministratore?
Prova magari con un software alternativo come Rootkit Unhooker

Sono passato allo "Step 5", sono stati compilati i due log ma mi sfugge quest'ultima parte:

"Reply with copy of the Eset scan log
RootRepeal log
OTL.TXT
Extras.txt"

Ha detto di rispondere postando il log di Eset (Lo scanner antivirus online, devi usare IE e avere gli ActiveX attivi se non ricordo male), poi il log di dell'antirootkit (RootRepeal o altri) e infine i 2 log generati da OTL (ovvero OTL.txt e Extras.txt)

[mienos]

Sembra che non trovi i vari drive (C:\ D:\ ecc...) Ora provo con quest'altro programma, e poi ti posto i vari log.

Aggiornamento: Stesso problema anche con questo programma. Mi esce un errore con scritto: "Error loading driver, NTSTATUS code: C00000001"

Comunque posto i vari log:

ESET Log

[mienos]

OTL.txt

[mienos]

Extras.txt

[booty island]

Ok, prova allora questo..
Scansiona e cancella ogni anomalia rilevata (backup d'obbligo).

Il log di Eset mostra 3 malware rilevati, nulla di che, ma fai comunque attenzione a quello che scarichi nel P2P... Soprattutto keygen e simili

OTL.txt --> Mostra sempre quel C:\Windows\Object Desktop\Open USB Device.exe da eliminare e queste chiavi:

O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\pol icies\Explorer\Run: wfxload.exe = C:\Windows\Object Desktop\Open USB Device.exe (HHPQQnEFQhCWby4JO9OT)

O7 - HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\pol icies\Explorer\Run: wfxload.exe = C:\Windows\Object Desktop\Open USB Device.exe (HHPQQnEFQhCWby4JO9OT)

Cerca e rimuovi dal registro ogni riferimento a Stardock, wfxload.exe, object desktop e ovviamente Open USB Device.exe

Ricorda di abilitare la visualizzazione dei file nascosti e di sistema.
Quando scansioni devi farlo sempre (quando possibile) in modalità provvisoria e con il ripristino di sistema disattivato.

Per il resto i servizi e le altre cose sembrano essere nella norma.

Ultimo, ma non ultimo, utilizza un ottimo firewall con HIPS come Comodo Security Suite in modo da monitorare il comportamento del tuo sistema in tempo reale.

[mienos]

Grazie mille! Ora sembra finalmente essersi risolto!!! :-)

[Davide71]

Siamo sicuri che "Spybot - Search & Destroy" sia compatibile al 100% con Windows 7?

bye