Newsgroup: it.comp.sicurezza.varie
Titolo: Eliminare tracce Key-logger

SpyCatcher ha individuato sul mio PC "007 Spy Software" e l'ha messo
in quarantena.
Mi mostra, legati a questo key-logger, dei file nella cartella TEMP
del tipo "fnmxx.tmp", di oltre 5 MB, dove xx vale 50, 52, ecc
Non riesco a cancellarli, nemmeno in modalità provvisoria. Con linux
non ci riesco, in quanto la partizione è NTFS.
Mi date qualche aiuto?
-- 
Bye, Yorgos
To send me an email, please change loose with free

 non ci riesco, in quanto la partizione è NTFS.
KillBox 
http://www.majorgeeks.com/download4709.html
-- 
Tiziano "Lapalissiano" Marmiroli
Microsoft MVP - Office System

 non ci riesco, in quanto la partizione è NTFS.
Beh, per quello, per cancellare file si puo' usare captive.
MA se non li lascia cancellare, probabile che il keylogger sia
ancora in attivita'.
-- 
           |Save our planet!
    Ciao   |Save wildlife!
   roberto |For your E-MAIL use ONLY recycled Bytes  !!
           |roberto poggi   
rpo...@softhome.net

 Mi date qualche aiuto?
Verifica se c'e' un processo che tiene aperti i file usando, per 
esempio, handle.exe (
www.sysinternals.com
). Nel caso, killalo ed
elimina l'eseguibile dal disco. Ci sara' da eliminare la voce di
registro (o altro) che carica i processi incriminati. Ci possono
essere delle complicazioni in queste opeprazioni, nel caso posta
di nuovo. 
Se non ci sono processi che tengono bloccati i file verifica che 
le acl dei file ti permettano di cancellarli. Se le acl dei file
t'impediscono di cancellare i file (ma dubito), modificale e poi
elimina.
Usa la console di ripristino, non la modalita' provvisoria.
Fabio

Hai disabilitato il System Restore prima di provare a cancellarli?
Mi scuso per la fretta con cui ho inviato il post.
In effetti ho Windows 2000 SP4, quindi senza il System Restore.
Inoltre ho verificato che il key-logger è ancora attivo (maledetto),
ma non riesco a rimuoverlo.


ancora in attivita'.
E' cosě, infatti cerco aiuto per eliminare questo maledetto 007 Spy
Software.
E poi non capisco come ha fatto a installarsi. I miei familiari usano
il PC con Windows 2000 SP4 come USER, io solo come administrator, e
finora non avevo mai preso un virus o altre bestiacce!
Sto esaminando le ultime installazioni, tra cui Skype 2 Beta, per
capire se il problema č lě.


Usa la console di ripristino, non la modalita' provvisoria.
Mi sembra di capire che il mio vero problema sia trovare il
key-logger.
Speriamo di farcela in giornata.


 key-logger.
Una volta trovato, la console di ripristino e' un buon posto per la
sua rimozione, se usa tecniche strane per cambiare il nome agli exe
o per riscrivere le voci di registro che cancelli.
Fabio

 Speriamo di farcela in giornata.
A mio avviso il tuo vero problema e' che con un keylogger installato(da 
chissa' quanto tempo) qualcuno a quest'ora avra' in mano un bel po' di 
tuoi dati personali.
Penserei immediatamente a modificare TUTTE le password utilizzate per 
l'accesso alla posta, siti, onbank e quant'altro.
Spero tu non abbia usato la carta di credito recentemente.
-- 
c:\winnt> secure_nt.exe
  Securing NT.  Insert Linux boot disk to continue......
http://www.neodigital2k.com


http://www.adoko.com/resource/007-spy-software.asp
Non c'è traccia nel mio computer né dei file né delle entrate di
registro descritte nel sito. La faccenda si ingarbuglia!
Una domanda: non è che SpyCatcher soffra di falsi positivi?


sua esecuzione, errori che potrebbero aiutarti nel rintracciarlo.
Ho seguito questo consiglio: stranamente mi va in errore SpyCatcher!


Spero tu non abbia usato la carta di credito recentemente.
Purtroppo sì, tuttavia ho attivo l'avviso SMS per ogni spesa e finora
è tutto OK.


 è tutto OK.
Vedi tu se segnalare la cosa al tuo spacciatore di carte di credito, 
quantomeno per sapere come muoverti.
-- 
L'universita' americana di Berkeley
ha prodotto due importanti invezioni: l'LSD e Unix.
Credo non sia una coincidenza.
                                          Jeremy S. Anderson

quantomeno per sapere come muoverti.
OK, grazie!


fare una ricerca su Google per "+007 Spy Software" +keylogger +remove
Già fatto (ho buona memoria per un tuo suggerimento analogo, di fare
ricerche direttamente in inglese :-))
Forse ho anche capito cosa è successo, questa sera posterò la mia
ipotesi che vorrei prima verificare appena avrò un po' di tempo.
Grazie a te e altri amici del NG!


 Ho seguito questo consiglio: stranamente mi va in errore SpyCatcher!
Non e' strano: SpyCatcher non riesce a leggere la cartella e mostra un
errore. Probabilmente anche il processo incriminato ha sclerato, ma lo
ha fatto in silenzio, peccato. Hai tolto l'accesso anche a SYSTEM?
Non basarti troppo sul fatto che SpyCatcher ti abbia notificato _quel_
keylogger in particolare, potrebbe essere altro. O _anche_ altro.
Fabio

 wrote:
Non so se la mia interpretazione dei fatti sia quella giusta, per cui
sono graditi i vostri commenti.
Lunedì sera ho rimesso nell'avvio automatico SpyCatcher, che avevo
tolto senza disinstallarlo in quanto sembrava dare fastidio al
montaggio video. Ho lasciato solo i soliti SpyBot e Ad-aware.
Appena riavviato il PC, mi è comparso un avviso: SC aveva bloccato un
key logger.
Ho fatto una scansione approfondita e ho trovato l'ospite: "007 Spy
Software". Attimo di panico!
SC lo mette in quarantena, ma a sembra più opportuno dare il comando
REMOVE.
Rifaccio la scansione e, a parte i soliti file sospetti che però non
trovano un riscontro di nocività con google, tutto sembra OK.
Eccezion fatta per dei file improvvisamente comparsi nella directory
TEMP della partizione K (adibita a  ospitare i file temporanei e lo
swap file).
Cerco di cancellare i file .tmp, ma ottengo un rifiuto perché in uso.
Il panico aumenta, scarico altri antispyware da qui:
http://www.spywarewarrior.com/rogue_anti-spyware.htm#trustworthy
li installo e mando in blocco il PC!!!
Ho dei lavori da svolgere, il PC è bloccato. 
A questo punto disinstallo tutti i programmi antispyware e reinstallo
solo SC. Dietro vostro suggerimento, rendo non scrivibile la cartella
TEMP e a questo punto va in errore SC. 
Disinstallo nuovamente SC e finalmente posso cancellare i file .tmp.
Ogni tentativo di evidenziare 007 Spy va a vuoto, e in effetti penso
sia giusto così, visto che SC dovrebbe averlo rimosso!
Reinstallo SC, faccio la solita scansione profonda e non c'è più
traccia di spyware. Ricominciano a comparire i file .tmp, generati a
ogni avvio del PC.
A questo punto mi chiedo: se a ogni riavvio vengono creati e mai
rimossi da SC circa 14 MB di file .tmp, è questo un comportamento
normale di un programma come SC?
Non è che sta agendo qualche altro spyware?
Le cose che potrei fare sono tre:
1) ripristinare il sistema operativo salvato con Ghost il 15 di ogni
mese (quindi al 15 di novembre);
2) riformattare tutto per "rinfrescare" e alleggerire il sistema,
ormai da circa 3 anni in funzione;
3) provare un altro antispyware per verificare che tutto sia a posto.
Sono graditi i vostri commenti e scusate se con questo lungo post
approfitto della vostra pazienza!


[1] 
http://snipurl.com/gnph
Grazie per la dritta, è un sito interessante.
Terrò aggiornato il NG sugli sviluppi!


> Cerco di cancellare i file .tmp, ma ottengo un rifiuto perché in uso.
Quei file temporanei appartengono a spycatcher.
Fabio

Quei file temporanei appartengono a spycatcher.
Ok, lo sospettavo. Ma non ti sembra strano che il loro numero cresca
indefinitamente?


 loro numero cresca indefinitamente?
Si', non me lo spiego. Mi aspetterei che rimuovesse
i file all'uscita.
Considera' pero' che il solo fatto che sia software
a pagamento, non vuolr necessariamente dire che sia
anche scritto bene ;-)
Fabio

anche scritto bene ;-)
Mi scuso per non essere stato chiaro prima: io ho SpyCatcher Express,
che è gratuito.
Comunque seguirò a cancellare a mano i file *.tmp!
