Problema con voce sospetta dopo scansione HiJackThis (aspimgr)

[Gas75]

Salve,
siccome sto avendo problemi nell'uso di Firofox 3, ho fatto una scansione con HiJackThis, e il report mi ha segnalato questa riga...

O23 - Service: Microsoft ASPI Manager (aspimgr) - Unknown owner - C:\WINDOWS\system32\aspimgr.exe (file missing)

dichiarandola infetta e con una X rossa come icona...

Ho tentato di fixare quella riga, ma ritorna alla scansione successiva... sebbene il file non sia presente sul disco! VVoVe:

Cosa può essere successo?

[Deifobe]

Non credo sia l'unica voce, per questo si ricrea... ma potrebbero anche esserci delle restrizioni all'editor del registro.. La prossima volta inserisci tutto il log

Riprova a fixarla da modalita' provvisoria e, se non ottieni risultati, scarica SystemScan, disconnetti il pc da internet => disattiva l'antivirus => esegui systemscan => clicca su "Scan Now". Finita la scansione, riattiva l'antivirus, carica il rapporto che trovi sul desktop su Savefile e posta il link ottenuto.

[Gas75]

Ecco qua il report
http://www.savefile.com/files/1618269



@ Gas75 : l'ho spostato.. cosi' non si crea confusione nei thread.. Ciao, Dei

[Gas75]

Ecco il report: http://www.savefile.com/files/1618269

Finalmente nel topic giusto!

HiJackThis segnala solo quella voce come infetta, le altre sono tutte dichiarate sicure.

[Deifobe]

ok, lo controllo e ti faccio sapere (mi ci vorra' un po')

[Deifobe]

Scarica Avenger e CCleaner

Esegui avenger e nella finestra copia/incolla tutta la citazione:

files to delete:
C:\DOCUME~1\Gas\IMPOST~1\Temp\_check32.bat
C:\DOCUME~1\Gas\IMPOST~1\Temp\jar_cache8484.tmp

drivers to disable:
aspimgr

drivers to delete:
aspimgr

registry keys to delete:
HKEY_LOCAL_MACHINE\SYSTEM\controlset001\services\a spimgr
HKEY_LOCAL_MACHINE\SYSTEM\controlset002\services\a spimgr
HKEY_LOCAL_MACHINE\SYSTEM\controlset001\enum\root\ legacy_aspimgr
HKEY_LOCAL_MACHINE\SYSTEM\controlset002\enum\root\ legacy_aspimgr

Spunta "Automatically disable any rootkits found" e clicca su "execute".
Il pc dovrebbe riavviarsi da solo, altrimenti riavvialo tu. Posta il report rilasciato

Esegui CCleaner e ripulisci i file temporanei e i cookie (eseguilo 2 volte).

Svuota C:\WINDOWS\Prefetch

Analizza su Virustotal il file:
C:\DOCUME~1\Gas\IMPOST~1\Temp\32439.exe
(fai copia/incolla del percorso e poi salva il rapporto)

Poi apri risorse del computer, trova il file C:\DOCUME~1\Gas\IMPOST~1\Temp\aax135.tmp.exe, cliccaci sopra con il tasto destro del mouse e seleziona "proprietà". Dimmi il produttore, se presente (forse appartiene a DivX?). Se non trovi nulla, analizza anche questo su Virustotal

Da hjt fixa:
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
e, se ancora presente,
O23 - Service: Microsoft ASPI Manager (aspimgr) - Unknown owner - C:\WINDOWS\system32\aspimgr.exe (file missing)

Posta l'analisi di virustotal e il rapporto di avenger

[Gas75]

Solo una domanda prima di procedere. Al posto di Ccleaner ho già RegCleaner installato: va bene lo stesso?

[Deifobe]

no, usa ccleaner.

[Gas75]

I report sono qui: http://www.savefile.com/files/1618624

Il file "C:\DOCUME~1\Gas\IMPOST~1\Temp\aax135.tmp.exe" appartiene a Divx, Inc. (che ho aggiornato di recente alla versione 6.8).
La riga "O23 - Service: Microsoft ASPI Manager (aspimgr) - Unknown owner - C:\WINDOWS\system32\aspimgr.exe (file missing)" non c'era quando ho rifatto la scansione con HJT...

Già che ci sono, ti informo che da quando ho installato Firefox 3 (ieri pomeriggio), AVG 8.0 di tanto in tanto mi apre la finestrella Email Scanning, relativa ad un server col quale non ho nulla da spartire, wonderland.dia.unisa.it, anche ad Outlook Express chiuso. Dal riavvio dopo l'esecuzione di Avenger, tale messaggio non s'è più ripresentato... Può essere che è tutto collegato? Considera che Firefox 3 non mi riconosce (e mi ha disattivato senza possibilità di cercare aggiornamenti) alcune protezioni offerte da AVG sui risultati di ricerca di Google...

[Deifobe]

uhmm.. hai analizzato il file 32439.exe, sicuro?
ok, C:\DOCUME~1\Gas\IMPOST~1\Temp\32439.exe = MD5...: eb7f929eb94a91df9b876bbc067661da = Ares, che effettivamente hai (ancher se vedo come file aresregular209_installer.exe).

Riavvia e controlla non si sia riformato il servizio. Se si, posta un nuovo systemscan.

Fammi sapere, ciao