Newsgroup: it.comp.sicurezza.varie
Titolo: Virus.Win32.Dialer!IK

Ho gia postato la domanda ieri su "microsoft.public.it.sicurezza" ma 
purtroppo senza risposta.
Spero mi possa aiutare qualcuno quì. Grazie
Oggi ho aggiornato a-squared Free (tutto nuovo!) e così ho fatto subito una
scansione. Mi ha trovato "Virus.Win32.Dialer!IK" in 2 file in
"E:\System Volume Information\_restore....."
E: è una partizione del disco D: , disco non di sistema.
Questa partizione non l'ho mai usata, è in FAT32 e al suo interno ci sono 
file che ho trovato gia dentro quando l'ho comprato e che sono le versioni 
aggiornate dei driver audio e video.
Pensando a un falso positivo, ho sfruttato la nuova funzione che ricontrolla
i file in quarantena. A quel punto l'antivirus ha trovato e bloccato 2 file
in
c:\documents and settings\utente\impostazioni locali\temp\a0075062.exe
c:\documents and settings\utente\impostazioni locali\temp\a0035829.exe
(dove credo a-squared Free "appoggi" i file per ricontrollarli.
Faccio regolarmente scansioni con antivirus, a-squared Free, Spybot - Search
& Destroy, SUPERAntiSpyware Free Edition senza mai aver trovato nulla.
Come è arrivato li il virus, in un disco che non uso e non di sistema? Si 
trova nei file del ripristino configurazione
giusto?
Ma non l'ho trovato da nessuna altra parte. Come mai, è normale?
Ho altro in giro e non riesco a trovarlo?
O.S. Windows XP sp3 aggiornato.
Grazie a chi mi potrà aiutare.

 (dove credo a-squared Free "appoggi" i file per ricontrollarli.
Non credo però che ce li lasci, una volta finita la scansione.
Altrimenti, in una passata su un disco pieno al 51% ti inchioda il
sistema. ;-)
-- 
           |Save our planet!
    Ciao   |Save wildlife!
   roberto |For your E-MAIL use ONLY recycled Bytes  !!
           |roberto poggi   
rpo...@softhome.net

 sistema. ;-)
Credo che dopo li cancellerebbe, ma l'antivirus interviene prima. 
L'antivirus interviene anche se chiedo a a-squared Free di salvare una copia 
del file con estensione .dat per poterlo esaminare.
Grazie per la risposta e i chiarimenti.
Mi resta il dubbio di come sia passato indenne dall'antivirus, si sia 
installato, si sia cancellato, sia finto nel ripristino configurazione di 
sistema senza che l'antivirus se ne sia accorto. Ho controllato il log 
dell'antivirus e non ce traccia di quel virus nel passato.
Suggerimenti?
Grazie ancora 

 Suggerimenti?
Ripensa alla storia di quel disco "d: non di sistema".
Era installato fin dall'acquisto del pc?
E' un disco aggiunto in seguito?
Il pc e' un assemblato o hai chiesto tu il secondo disco?
In alcuni di questi casi, il disco potrebbe aver già contenuto
traccia di virus, se il venditore si fosse dimenticato di ripulirlo
in profondità, invece di cancellarne semplicemente il contenuto.
Per intendersi: tu compri il pc da me.
Mi chiedi però un disco aggiuntivo.
Io, venditore, al momento sono senza, me ne arrivano tra due giorni, ma
non voglio perdere il cliente.
Però ho un pc che stavo provando, con un disco che ti va bene.
Lo prendo, lo monto sulla tua macchina, e poi cancello tutti i file da
esplora risorse.
Ripulisco il cestino, e ti consegno la macchina.
Però il system volume information è rimasto pieno della roba che c'era
prima, visto che quello spazio non è visibile.(a parte usando procedure
particolari)


 particolari)
Il disco era già montato all'aquisto, il computer era in pronta consegna 
insieme ad altri uguali, un quella partizione ci sono agli aggiornamenti e i 
programmi che il venditore ha usato per aggiornare il sistema operativo 
probabilmente installato tramite immagine.
Il computer ha 3 anni e mezzo e non ho mai trovato niente di strano su quel 
disco nonostante le innumerevoli scansioni con svariati anti....
Grazie per la disponiblità. 

 disco nonostante le innumerevoli scansioni con svariati anti....
Ci potrebbe anche stare:
http://www.viruslist.com/en/viruses/encyclopedia?virusid=80484
Quel virus e' proprio di tre anni e mezzo fa.
Comunque, una passata profonda con un antivirus live da cd io la farei.


 Comunque, una passata profonda con un antivirus live da cd io la farei.
Gia prevista per questa settimana.
Ho appena scaricato "Malwarebytes' Anti-Malware" , fatta la scansione, ha 
trovato tracce del dialer nel registro. Ma cosa strana mi vede come trojan 
un file che è firmato Symantec e 3 file .tmp che se li apro con il blocco 
notes all'interno trovo riferimenti alla Sophos di cui uso il programma anti 
rootkit.
Secondo te possono essere falsi positivi?
Se scarico un antivirus live con questo computer, non rischio di 
compromettere tutto visto che forse è infetto?
Grazie ancora. 

 compromettere tutto visto che forse è infetto?
Dipende cosa scarichi: se scarichi una ISO da masterizzare, come questa:
http://dnl-eu10.kaspersky-labs.com/devbuilds/RescueDisk/
Il virus potrà fare ben poco.
Oltretutto, i sintomi sono parecchio mirati verso falsi positivi da
coesistenza di più aggeggi antimalware, imho.


 coesistenza di più aggeggi antimalware, imho.
Scusa ma sono un po tonto. La tua ultima frase significa " probabilmente non 
hai virus ma solo falsi positivi dovuti a troppi programmi anti...qualcosa 
installati"?
I file segnalati da Malwarebytes' Anti-Malware li ho controllati sul sito 
virustotal e sono puliti. Mi rimane da capire come interpretare e giudicare 
questa "riga"
Chiavi di registro infette:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{db893839-10f0-4af9-92fa-b23528f530af} 
(Dialer) -> No action taken.
Come posso capire se è veramente un problema? Come si rintraccia il file o 
il servizio a cui si riferisce?
Mille grazie per la pazienza e i consigli. 

 il servizio a cui si riferisce?
Cercandolo nel registro con quella sfilza di caratteri tra parentesi.
Se c'è un activex o simili con quell'identificativo, allora preoccupati,
che il malware ce l'hai a bordo.
Altrimenti, (salvo il caso [1]) sono solo resti di infezione guarita.


 Altrimenti, (salvo il caso [1]) sono solo resti di infezione guarita.
C'era solo quella traccia nel registro, niente file.
Ieri ho fatto una scansione in modalità provvisoria con:
* Spybot - Search & Destroy
* SUPERAntiSpyware Free Edition
* Malwarebytes' Anti-Malware (3 ore, dico 3 ore)
* a-squared Free (che mi si chiude se faccio una scansione "completa"_deep 
scan_
mentre funziona se faccio una scansione "intelligente"_smart scan_
ma credo sia colpa del programma e non di un virus visto che sono in 
modalità provvisoria)
* scansione con antivirus
e trova solo quei file che aveva già trovato (Malwarebytes' Anti-Malware) a 
li trova con l'euristica, quindi propendo per "falso positivo".
Il cd live lo faccio appena ho tempo. Per ora sembra tutto a posto, o almeno 
così spero ( sono il Re dei paranoici).
Ti ringrazio molto per l'aiuto. Se hai altri consigli o sai spiegarmi il 
problema che ho avuto con a-squared Free sono pronto a seguirti.
Ti auguro a te, ai tuoi cari e a tutti quelli che leggono un FELICE NATALE.