Newsgroup: it.comp.sicurezza.varie
Titolo: consiglio per esperti...forse no....

Buongiorno a tutti, in una delle ditte che seguo mi si propone da qualche
tempo lo stesso problema.Ho bisogno di un consiglio.Grazie in anticipo.
Rete mista, server NT 4.0 sp6 con Norton Antivirus Corporate Ed. 7.5
aggiornato tramite live-update in automatico;tutti i pc che usano internet,
server compreso, sono aggiornati ad IE 6. In passato hanno avuto un'epidemia
di Sircam, tutto risolto pero'......su un unico pc win98se puntualmente si
ripresenta il problema della rinomina del file rundll32.exe che impedisce
l'esecuzione dei programmi.
La rinomina del suddetto file e' una caratteristica del Sircam ma....se non
c'e' 'sto benedetto cosa puo' determinare tale fastidio....???...
Grazie.

 La rinomina del suddetto file e' una caratteristica del Sircam
Beh, in un certo senso... non proprio. Sircam rinomina il "rundll32.exe"
originale in "run32.exe", poi copia se stesso come "rundll32.exe".
A questo punto, finché il file infetto c'è, se viene lanciato esegue il
suo sporco lavoro, poi chiama il "run32.exe" originale e tutto funziona,
anche il virus :-|.
Ma se un AV cancella il file infetto senza ripristinare l'originale, ti
ritrovi la macchina con dei problemi.
Torniamo a bomba: altre info, please :-). Qual è l'errore, di preciso ?
P.S.: non è che su quel PC c'è ancora la condivisione senza password ?
Bye, G.

 Torniamo a bomba: altre info, please :-). Qual č l'errore, di preciso ?
[....]
Papero infingardo, perchč non ti fai vedere un po' piů spesso da
queste parti?
-- 
Bye by V.

 queste parti?
Quali parti ? O:-)) In genere un paio di post al giorno sui gruppi
ics.* li faccio, [ma fin troppi sono OT :-) ] poi icsv-b, per il resto
lurko. Per esempio i.c.s.u, idlm, inna, ing, idm, mettici un paio di ml
e le mail normali... poi sai, a volte devo anche lavorare :-)...
P.S.: nel caso usa gaetano sottolinea d chioccioletta hotmail punto com,
che qui siamo OT (ma no ? :-) ).
Un Paperino che ha pudore della propria ignoranza.


Iin pratica nel giro di pochi giorni nell'autoexec si aggiungono una ventina
di righe "@win \recycled\sirc32.exe" e il file rundll32.exe rinominato che
incasina l'avvio dei programmi. All'avvio la macchina non da' il messaggio
del "Recycled". Non ci sono file infetti. Il registro di Windows non
presenta anomalie tipiche del Sircam.
In rete c'e' un server Unix SCO usato solo da alcuni pc. Il tecnico che lo
segue mi dice che e' in perfetta forma....
Sui 44 pc complessivi questo e' l'unico che presenta questa anomalia pur
lavorando meno degli altri (e' del capo)...come una peperonata sullo
stomaco...
L'unica cosa che mi fa pensare e' che funge da server remote banking per tre
pc amministrativi che si connettono per leggere quello che il pc scarica
dalla banca...i tre client RB non presentano nessuna anomalia.
Ho detto tutto.
Grazie.

 dalla banca...i tre client RB non presentano nessuna anomalia.
IMVHO, c'č ancora qualche PC in rete che č infetto, e infetta quel PC via rete.
La firma del Sircam č piů chiara di un'impronta digitale... un pc infetto
cerca in rete locale altri pc con condivisioni aperte, e modifica l'autoexec
eccetera, proprio quello che vedi tu. Fai una controprova, da DOS
dai questi comandi:
cd \recycled
attrib *.* -r -s -h
dir *.exe
Se trovi un sirc32.exe č come dico io.
Bye, G.

 modalità normale.
Si può anche disabilitare *definitivamente* la chiamata del
rundll32 in avvio, anzi tutte e due perchè in automatico ce
ne sono due... e tutto funziona lo stesso, visto che quando
un programma a cui serve ne ha bisogno ne fa la chiamata in
quel momento.
Se non c'è qualche altro inghippo, per via del collegamento
in una rete, sul mio pc sono mesi che quella cosa non è più
in autoexec e ne fa benissimo a meno.
-- 
Bye by V.

 virus.
Ringrazio per la considerazione. So che il prblema e' gia' stato affrontato
e risolto: vorrei solo capire perche' mi si ripresenta anche dopo aver fatto
girare tools, sostituito i rundll da cd,fatto passo a passo tutto quello che
si deve fare, etc... l'antivirus da server mi dice che non ci sono virus ne'
sul server ne' sui client; me ne vado, e dopo 24 ore questo dannatissimo pc
e' al punto di partenza?
Immagino che non ci sia la bacchetta magica, ma Vi viene in mente niente
altro?
Puo' esserci un file infetto che non viene trovato dal Norton?
Deve esserci una spiegazione.Poi chiudo.
Grazie

 Deve esserci una spiegazione.Poi chiudo.
chissa' che non sia veramente come dici..se hai una buona connessione prova
a fare una scansione online da housecall 
http://housecall.antivirus.com
oppure tenta 
http://www.questar.it/download/clrav.com
 (tnx to wintricks)
ciao

di righe "@win \recycled\sirc32.exe" e il file rundll32.exe rinominato che
Leggevo su icsv (ops, vedo ora che siamo in crosspost, metto il f/u2) 
che gli antivirus di solito non vanno a sbirciare nel cestino.
In secondo luogo, devi controllare se ci sono macchine che si 
collegano in modo temporaneo (portatili dei capoccioni), che le 
condivisioni siano protette in scrittura, ecc. ecc.
-- 
Filippo "Kirone" Zamengo 
Quanto scritto deve ritenersi IMHO e indipendente dal datore di lavoro
e-mail modificata: togliere DESPAM e .invalid