PC lento, 3 processi rundll32.exe che usano tutta la CPU, log HijackThis

[lipa]

Il computer (con Xp) è diventato lentissimo, nel Task Manager ci sono 3 processi rundll32.exe, uno dei quali utilizza quasi tutta la CPU (97-99%).

Guardando dal "process manager" di HijackThis, il processo che usa tutta la CPU risulta avere nome runDll32, con la D maiuscola. Ho provato un po' a cercare sul web se sia normale avere più di un processo rundll32 in corso, ma ho trovato informazioni discordanti, da qualche parte si parla di trojan. A volte, ci sono solo 2 rundll32.exe fra i processi, a volte addirittura 4.

Ho eseguito la scansione con Spybot, AVG, Avast, Adaware, Kaspersky Online, Rootkitrevealer, Norman Malware Revealer senza trovare niente di significativo (solo adware che sono stati rimossi con successo e non sono più comparsi alla scansione successiva). Ho tolto qualcosa dopo aver fatto girare Hijackthis, ma non è cambiato niente.

AIUTO!

Allego l'ultimo log di HijackThis.
Grazie in anticipo a chiunque potrà aiutarmi.

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 12.27.56, on 27/09/2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16705)
Boot mode: Safe mode

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\Programmi\Lavasoft\Ad-Aware\aawservice.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\svchost.exe
C:\Programmi\HiJackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.it/
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Int ernet Settings,ProxyOverride = localhost
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmi\Adobe\Acrobat 6.0\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: Freecorder Toolbar - {1392b8d2-5c05-419f-a8f6-b9f15a596612} - C:\Programmi\Freecorder\tbFree.dll
O2 - BHO: RealPlayer Download and Record Plugin for Internet Explorer - {3049C3E9-B461-4BC5-8870-4C09146192CA} - C:\Programmi\Real\RealPlayer\rpbrowserrecordplugin .dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programmi\Java\jre1.6.0_07\bin\ssv.dll
O2 - BHO: AcroIEToolbarHelper Class - {AE7CD045-E861-484f-8273-0445EE161910} - C:\Programmi\Adobe\Acrobat 6.0\Acrobat\AcroIEFavClient.dll
O2 - BHO: Coolstreaming Tool-Bar v1.0 Toolbar - {bd0e4d83-654e-4213-965b-fcbe887061f4} - C:\Programmi\Coolstreaming_Tool-Bar_v1.0\tbCoo1.dll
O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - C:\Programmi\Adobe\Acrobat 6.0\Acrobat\AcroIEFavClient.dll
O3 - Toolbar: Coolstreaming Tool-Bar v1.0 Toolbar - {bd0e4d83-654e-4213-965b-fcbe887061f4} - C:\Programmi\Coolstreaming_Tool-Bar_v1.0\tbCoo1.dll
O3 - Toolbar: &Barradell'Accessibilità - {11352A67-0178-46B1-8855-D50B2F81C054} - C:\Programmi\WAT_IT\Accessibility_Toolbar.dll
O3 - Toolbar: Freecorder Toolbar - {1392b8d2-5c05-419f-a8f6-b9f15a596612} - C:\Programmi\Freecorder\tbFree.dll
O4 - HKLM\..\Run: [hpsysdrv] c:\windows\system\hpsysdrv.exe
O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\System32\hkcmd.exe
O4 - HKLM\..\Run: [KYE_Showicon] "C:\Programmi\USB Storage RW\shwicon.exe" -t"KYE\USB Storage RW"
O4 - HKLM\..\Run: [nwiz] nwiz.exe /installquiet /keeploaded
O4 - HKLM\..\Run: [ATIPTA] C:\Programmi\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [EM_EXEC] C:\PROGRA~1\Logitech\MOUSEW~1\SYSTEM\EM_EXEC.EXE
O4 - HKLM\..\Run: [CloneCDElbyCDFL] "C:\Programmi\Elaborate Bytes\CloneCD\ElbyCheck.exe" /L ElbyCDFL
O4 - HKLM\..\Run: [MediaFace Integration] C:\Programmi\Fellowes\MediaFACE 4.0\SetHook.exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [CmUsbSound] RunDll32 cmcnfgu.cpl,CMICtrlWnd
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programmi\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programmi\Java\jre1.6.0_07\bin\jusched.exe "
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKCU\..\Run: [ATI Scheduler] C:\Programmi\ATI Multimedia\MAIN\ATISched.EXE
O4 - HKCU\..\Run: [NBJ] "C:\Programmi\Ahead\Nero BackItUp\NBJ.exe"
O4 - HKCU\..\Run: [ATI Remote Control] C:\Programmi\ATI Multimedia\RemCtrl\ATIX10.exe
O4 - HKCU\..\Run: [NVIEW] rundll32.exe nview.dll,nViewLoadHook
O4 - HKCU\..\Run: [swg] C:\Programmi\Google\GoogleToolbarNotifier\GoogleTo olbarNotifier.exe
O4 - HKCU\..\Run: [Red Swoosh] C:\Programmi\RSSoft\RedSwoosh.exe /S
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKUS\S-1-5-21-2570987640-3928164164-1091151666-1003\..\Run: [ATI Scheduler] C:\Programmi\ATI Multimedia\MAIN\ATISched.EXE (User '?')
O4 - HKUS\S-1-5-21-2570987640-3928164164-1091151666-1003\..\Run: [NBJ] "C:\Programmi\Ahead\Nero BackItUp\NBJ.exe" (User '?')
O4 - HKUS\S-1-5-21-2570987640-3928164164-1091151666-1003\..\Run: [ATI Remote Control] C:\Programmi\ATI Multimedia\RemCtrl\ATIX10.exe (User '?')
O4 - HKUS\S-1-5-21-2570987640-3928164164-1091151666-1003\..\Run: [NVIEW] rundll32.exe nview.dll,nViewLoadHook (User '?')
O4 - HKUS\S-1-5-21-2570987640-3928164164-1091151666-1003\..\Run: [swg] C:\Programmi\Google\GoogleToolbarNotifier\GoogleTo olbarNotifier.exe (User '?')
O4 - HKUS\S-1-5-21-2570987640-3928164164-1091151666-1003\..\Run: [Red Swoosh] C:\Programmi\RSSoft\RedSwoosh.exe /S (User '?')
O4 - HKUS\S-1-5-21-2570987640-3928164164-1091151666-1003\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe (User '?')
O4 - S-1-5-21-2570987640-3928164164-1091151666-1003 Startup: Nikon Monitor.lnk = ? (User '?')
O4 - S-1-5-21-2570987640-3928164164-1091151666-1003 Startup: OpenOffice.org 2.3.lnk = C:\Programmi\OpenOffice.org 2.3\program\quickstart.exe (User '?')
O4 - Startup: Nikon Monitor.lnk = ?
O4 - Startup: OpenOffice.org 2.3.lnk = C:\Programmi\OpenOffice.org 2.3\program\quickstart.exe
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions present
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.6.0_07\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.6.0_07\bin\ssv.dll
O9 - Extra button: Ricerche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O10 - Unknown file in Winsock LSP: c:\windows\system32\nwprovau.dll
O12 - Plugin for .mw2: C:\Programmi\Internet Explorer\PLUGINS\NPLCSI32.dll
O23 - Service: Lavasoft Ad-Aware Service (aawservice) - Lavasoft - C:\Programmi\Lavasoft\Ad-Aware\aawservice.exe
O23 - Service: Adobe LM Service - Adobe Systems - C:\Programmi\File comuni\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Programmi\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: avast! Antivirus - ALWIL Software - C:\Programmi\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Programmi\Alwil Software\Avast4\ashMaiSv.exe
O23 - Service: avast! Web Scanner - ALWIL Software - C:\Programmi\Alwil Software\Avast4\ashWebSv.exe
O23 - Service: CLDKKMR - Sysinternals - www.sysinternals.com - C:\DOCUME~1\PROPRI~1\IMPOST~1\Temp\CLDKKMR.exe
O23 - Service: Crypkey License - CrypKey (Canada) Ltd. - C:\WINDOWS\SYSTEM32\crypserv.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programmi\File comuni\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe
O23 - Service: UB - Sysinternals - www.sysinternals.com - C:\DOCUME~1\PROPRI~1\IMPOST~1\Temp\UB.exe

--
End of file - 6990 bytes

[hell's bells]

Facciamo un "giro" con malwarebytes poi vediamo se serve il famoso intervento a manina, segui la procedura:

scarica Malwarebytes
1) lo installi
2) lo aggiorni
3) fai una scansione scegliendo la modalità completa
4) NON eliminare le eventuali minacce che rileva
5) finita la scansione seleziona il tabellino log, apri il file di testo e postalo sul forum

per postare il report segui questa scaletta:

1) andare sul sito http://www.savefile.com/
2) clicca su Upload My file
3) clicca su upload oppure registrarsi per avere più opzioni
4) clicca su browser e scegli il file di log, txt ecc dal tuo computer
5) compila i restanti campi e clicca su Upload File
6) copia ed incolla sul forum il link per il download che trovi sotto la voce [If you want to link directly to the file: ]

[lipa]

Grazie mille! Stasera non ce la fa a finire la scansione, riaccendo tutto domani.
Ancora grazie!!!

[hell's bells]

A domani, per il report.

[lipa]

Ecco il log:

http://www.savefile.com/files/1810766

PS: ahimè. ierisera avevo iniziato una scansione che non ho fatto in tempo a completare, aveva trovato una cosa e, per sbaglio, non ho seguito le tue istruzioni e gli ho detto di eliminare la minaccia . Il log diceva questo:

Chiavi di registro infette:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Internet Explorer\SearchScopes\{afdbddaa-5d3f-42ee-b79c-185a7020515b} (Adware.Agent) -> Quarantined and deleted successfully.

Ancora grazie mille per l'aiuto.

[hell's bells]

Alllora, rifai la scansione con malwerbytes ed elimina l'oggetto infetto, il pc è pulito, in relazione a run32dll, hai 2 processi legittimi e si vedono da hijackthis, in compenso ho trovato una stranezza, hai 2 programmi di controllo e relativi servizi caricati per 2 schede video differenti, una ati e una nvidia, su questo vorrei chiarimenti, poi dal process explorer di hijackthis o dal task manager fammi una foto della schermata in modo che veda tutti i processi run32dll, se non vedo niente di anomalo qui abbiamo finito.

[lipa]

Grazie mille, adesso il computer funziona bene! Ho eliminato e rifatto la scansione con malwarebytes e risulta tutto pulito.
Il secondo processo rundll32 è scomparso, quindi non ti posso mandare la schermata
Per quel che riguarda le schede video, controllerò e vedo di sistemare, in effetti mi arrivavano messaggi di errore, ogni tanto.
Ancora grazie, buona domenica!

[hell's bells]

Alla prossima volta, in goni caso sistema di corsa la questione schede video.

[lipa]

OK, ancora grazie mille, dovrei essere riuscito a togliere la nvidia, adesso è tutto davvero molto più veloce.
Grazie mille per l'aiuto , ero davvero disperato

[hell's bells]

Alla prossima volta per una visita di cortesia e buona serata.