EXPLORER SI CHIUDE DA SOLO CON CCLEANER

[blueminnie]

Ciao sono nuova su questo forum, ma o un problema misterioso che non riesco a risolvere.

Ogni volta che tento di avviare ccleaner sparisce il desktop per qualche secondo, poi riparte e ccleaner non si è attivato.
Una volta mi ha dato per una frazione di secondo il messaggio "runtime error".
Ho provato a disnistallarlo, ma succede la stessa cosa.
Se vado su un forum qualunque e nella funzione cerca digito ccleaner, quando avvio la ricerca sparisce tutto, explorer si chiude e devo ripartire.
Insomma, per me è un mistero miserioso.

Ho visto che un utente del forum ha avuo un problema identico con hijackthis, magari riuscite ad aiutare anche me?
Grazie in anticipo.

Ciao
Francesca

[Luke57]

Ciao, apri il registro di sistema:
start>esegui>regedit (lo digiti nello spazio)>OK
Cliccando sul segno + accanto alle singole voci, segui quresto percorso:
HKEY_LOCAL_MACHINE
Software
Microsoft
Windows NT
CurrentVersion
Image File Execution Options
clik sul segno + di quest'ultima voce, verifica se fra le varie sottovoci è presente
explorer.exe,
se è presente clik su di essa e riporta che cosa trovi al suo interno.

[blueminnie]

Grazie tante, ci provo stasera a casa, poi ti dico.

Ciao

[blueminnie]

Ecco a te Luke57. Di seguito quello che c'è nel registro di sistema alla voce explorer.exe

ab(Predefinito) REG_SZ (valore non impostato)
ab Debugger REG_SZ "c:\windows\system32\mgvocmke.txt"

No ho postato prima perchè da casa il worm mi vieta di collegarmi ad un link doce si parla di ccleaner

Riusciamo a rispedirlo da dove è venuto?

Grazie, a presto

[Luke57]

Ciao, proviamoci, segui queste indicazioni:
apri il taskmanager (ctrl+alt+canc) , premi il tab tab.processi, evidenzia il processo explorer.exe, premi Termina operazione , a questo punto scompare il desktop e tu, sempre dalla finestra del taskmanager , vai File>nuova operazione>digita regedt32>OK
arrivi alla voce di registro, seguendo il percorso di prima che riassumo
HKEY_LOCAL_MACHINE
Software
Microsoft
Windows NT
CurrentVersion
Image File Execution Options
explorer.exe, click su di essa tasto dx del mouse>Autorizzazioni>Avanzate>Proprietario, imposti la proprietà all'utente del computer>OK. Torni alla pagina precedente, metti la spunta a controllo completo e in lettura>OK.
A questo punto click tasto dx del mouse sulla voce e scegli elimina
Chiudi il registro, sempre da takmanager, File>nuova operazione, scrivi explorer.exe>ok. Riavvia il computer e verifica che la chiave sia sparita effettivamente, poi elimina il file
c:\windows\system32\mgvocmke.txt
(in realtà è un eseguibile camuffato).
Se elimini il file, senza eliminare la voce di registro il computer si riavvia senza il desktop.
Poi scarica questo file
http://www.suspectfile.com/upload/files ... ptions.exe
ora avvia il file
advanced_options.exe
esegui la scansione e posta il log.

[blueminnie]

Rieccomi caro Luke.
Ho fatto tutto per benino, ma quando ho avviato advancedoptions.exe non si è avviato.
Cioè, è apparsa la finestra nera dell'applicazione e si è richiusa subito.
Quindi niente log.

Aiutooooooo!!!!! Se piango vale?

Aspetto tue nuove...

Prendila come una sfida, che dici?

[Luke57]

Rieccomi caro Luke.
Ho fatto tutto per benino, ma quando ho avviato advancedoptions.exe non si è avviato.
Cioè, è apparsa la finestra nera dell'applicazione e si è richiusa subito.
Quindi niente log.

Aiutooooooo!!!!! Se piango vale?

Aspetto tue nuove...

Prendila come una sfida, che dici?

Ciao, probabilmente non hai tolto la chiave, apri nuovamente il registro di sistema e controlla.

[blueminnie]

Tutto ok.

Sono riuscita a disinstallare Ccleaner e tutto funziona.

Grazie per l'aiuto

[Luke57]

Ciao, purtroppo devi ancora cancellare le voci seguenti messe dal malware in questi percorsi del registro di sistema:
1)HKEY_LOCAL_MACHINE
SOFTWARE
Microsoft
RFC1156Agentse trovi la voce in neretto click tasto dx e scegli Elimina

2)HKEY_LOCAL_MACHINE
SOFTWARE
Macromedia
ShockPlayer32se trovi la voce in neretto click tasto dx e scegli Elimina

3)HKEY_LOCAL_MACHINE
SOFTWARE
Microsoft
Internet Explorer
AdvancedOptions
Nome causale con 5 lettere (che può variare e possono essere più di uno)
(in questo caso se hai dei dubbi, prima di cancellare informa nel forum)
se trovi la voce in neretto click tasto dx e scegli Elimina

Cerca ed elimina le stesse voci , se presenti, sotto la chiave iniziale di registro:
1)HKEY_CURRENT_USER
SOFTWARE
Microsoft
Internet Explorer
AdvancedOptions
Nome causale con 5 lettere

2)HKEY_CURRENT_USER
SOFTWARE
Macromedia
ShockPlayer32

3)HKEY_CURRENT_USER
SOFTWARE
Microsoft
RFC1156Agent

[blueminnie]

Ehi Luke, non ho trovato nessuna voce in neretto di quelle che dicevi.
E' normale?

[Luke57]

Ehi Luke, non ho trovato nessuna voce in neretto di quelle che dicevi.
E' normale?

Ciao, scarica questo file:
http://www.suspectfile.com/upload/files ... ptions.exe
lo avvii e dopo la scansione posti il report, così ci guardiamo in due (comunque può essere che non ci siano).