Newsgroup: it.comp.sicurezza.varie
Titolo: Sempre il Kernel32.exe

Ciao a tutti, e grazie per la pazienza di leggermi.
Il file kernel32.exe di cui parlavo nel precedente messaggio usa i
seguenti files:
ADVAPI32.DLL
GDI32.DLL
KERNEL32.DLL
MSVRCT.DLL
MSWSOCK.DLL
SHLWAPI.DLL
USER32.DLL
WININET.DLL
WS2_32.DLL
WS2HELP.DLL
WSOCK32.DLL
(tratto da DLL Show)
Che diamine e' sto kernel32.exe???
Chi lo attiva anche in modalita' provvisoria?
Chi lo ricrea se io lo cancello?
Chi lo rimette in \run se io lo tolgo?
Mi sa che dietro queste domande si nasconda un altro file papa', quel
grandissimo cornuto padre di questo figlio di troiano.
Aiutatemi a trovarlo, per favore.
Salvo Ognibene

 3.Vai sempre su Ambiente Software e vedi i Programmi ad esecuzione automatica,ti dice se sono caricati da :
- Cartella Esecuzione Automatica del menu Start
- Autoexec.bat / Config.sys
- System.ini
- Registro, dalle chiavi :
HKEY_LOCAL_MACHINE\SOFTWARE\MICROSOFT\WINDOWS\CURRENT_VERSION\RUN (e
simili)
HKEY_CURRENT_USER\SOFTWARE\MICROSOFT\WINDOWS\CURRENT_VERSION\RUN (e
simili)
Se non avessi MS System Information, esegui dal menu START i programmi
REGEDIT e SYSEDIT.
Fammi sapere.
Toti Ognibene ha scritto:

-- 
--------------------
MACS99 -> MACS2K :D
--------------------
togli NOSPAM dall'indirizzo
per rispondermi via email

 Che diamine e' sto kernel32.exe???
dovrebbe essere un file di sistema di windows, indispensabile per
l'utilizzo del sistema operativo. Lo vedi, anche, dalle dll che
utilizza.
Se pensi di avere un trojano, cercalo da qualche altra parte.
ciao
Buttha
-- 
* Per rispondere in email rimuovere una i dall'indirizzo
* 
http://members.xoom.it/buttha/
* Le mie opinioni non sono fatte per essere esposte in pubblico

 Se pensi di avere un trojano, cercalo da qualche altra parte.
Allora facciamo cosi': io te lo mando e tu lo esegui. Poi mi dirai, ok?
Non esiste kernel32.exe in windows. Almeno su 5 PC che ho visto da
quando sono infetto.
Dentro il suddetto file e' riportata la seguente stringa:
/vecna/virus.txt 
sok4ever.zone.ne.jp
Software\Microsoft\Windows\CurrentVersion\Run  HTTP/1.1
User-Agent: Mozilla/4.0 (compatible; Vecna)
Accept: image/gif, image/x-xbitmap, image/jpeg, */*
Host:  \KERNEL32.EXE
Dimmi tu se non e' troiano.
Scusate, ma qui stiamo parlando di qualcosa che non e' ancora stata
scovata neanche dagli antivirus piu' famosi e completi...
--
----------------------------------------------------------------------
                Hiroshima 45, Chernobyl 86, Windows 98
           Micro$oft: what do you want to reinstall today?Ž
     Windows 98: se lo conosci lo eviti; se lo conosci non ti uccide.
----------------------------------------------------------------------

/vecna/virus.txt 
sok4ever.zone.ne.jp
Prova a riordinarli cosě:
http://sok4ever.zone.ne.jp/vecna/virus.txt
CIAO !
MultiTaskinG

 quando sono infetto.
c'hai ragione, esiste kernel32.dll ma non kernel32.exe


Host:  \KERNEL32.EXE
Per il signor Toti Ognibene,
Non avevi detto poco fa che ti si era sputtanato quasi totalmente il
computer a causa di un virus?
Come fai a inviare messaggi?
Beato te che ne hai due e magari un altro di scorta!
Oppure sei lo Speedy Gonzales della formattazione?  ;8---;-))
Cordialità da Vittorio, Olga e gattoni vari

 c'hai ragione, esiste kernel32.dll ma non kernel32.exe
Non era un rimprovero, carissimo Buttha, ma una precisazione, ok?
Ti stimo, lo sai.
Ciao!
--
----------------------------------------------------------------------
                Hiroshima 45, Chernobyl 86, Windows 98
           Micro$oft: what do you want to reinstall today?®


 Oppure sei lo Speedy Gonzales della formattazione?  ;8---;-))
Questo msg lo sto scrivendo dovo aver passato 30 minuti a rimettere le
immagini degli hd tramite Drive Image.
Aggiorno tutto ogni 15 giorni: mi costa 30 minuti, uso riscrivibili comprati
a 3.900 (4x).
E vale piu' di ogni AV in commercio, credetemi.
30 minuti e mi sono tolto dalle scatole il virus (e 15 giorni di lavoro
SIGH, ma meglio che 2 anni!!!)
Viva la protezione intelligente.
Toti


Ciao
Volevo solo dire a Toti Ognibene che condivido il suo pensiero. E'
facile parlare quando non si e' colpiti in prima persona, e che certe
volte le precauzioni che si prendono possono non bastare. Qualche
mesetto fa, facendo girare un programma consegnatomi dal mio professore
di tesi, che aveva passato brillantemente l'esame dei vari antivirus, mi
sono giocato qualche decina di megabyte di dati causa un bug del
programma che generava un file di output terminandolo in modo scorretto,
per cui incappavo in sovrascritture di dati sul disco fisso. E' vero che
non si trattava di un virus e che mi ero cautelato con copie di backup
frequenti su CD-Rom e disco Jaz, ma comunque un danno l'avevo subito. Un
antivirus, anche con ricerca euristica/avanzata, si basa
sull'identificazione di una stringa cui esecuzione coincida/assomigli
all'azione di un virus identificato nel suo database: in caso contrario
non viene rilevato niente. Questo e' il caso di virus nuovi (sia per
data che per programmazione del codice) che di semplici file batch
contenenti comandi del tipo del *.* o format c:, e in tal caso, a parte
la prevenzione e un tocco di paranoia, non conosco altre difese. 


E vale piu' di ogni AV in commercio, credetemi.
Beh, non si direbbe... non eri tu quello che si lamentava su questi
schermi di avre preso un virus... trrrrrremendo. :)
Zac

 Ti stimo, lo sai.
comunque da dove postava Buttha avresi anche potuto inviarlo
il Kernel32.exe e lui avrebbe anche potuto tentare di eseguirlo :-)))
:
    >   tin/1.4.1-19991201 ("Polish") (UNIX) (Linux/2.2.13 (i686))
Ciao
roberto


wrote:

Ti ringrazio per la spiegazione, purtroppo  il mio lavoro non mi
consente di approfondire simili problematiche.
A volte  devo dedicare anche qualche ora alla mia famiglia.
Conosci il gioco del trisac, oppure le due piccinine? ( risale circa
al settecento nelle valli Bresciane)
Ne siamo appassionati
E' un gioco simile al poker che si giocava in campagna.
Le ore passano senza angosce ;--))
Ad ogni modo cordialità da Vittorio, Olga e gatti vari

> computer a causa di un virus?
Chiedo scusa per l'errata interpretazione del problema
 
Perdonami anche i miciotti che mi hanno  mal consigliato.


 il Kernel32.exe e lui avrebbe anche potuto tentare di eseguirlo :-)))
Non capisco il senso di quanto dici.
Rileggi quanto da te scritto.
Ciao


 schermi di avre preso un virus... trrrrrremendo. :)
Allora se ti dico che sei idiota non ti devi offendere, vero?
Mi dici come fa il tuo POTENTE antivirus con l'euristica del caxxo a trovare un
virus di cui non ne sa niente?
Non sa come si replica, non sa come rimane in memoria, non sa da dove e' entrato,
non sa cosa fa non appena ti colleghi ad internet, non sa rimuoverlo.
E PER DI PIU', si rende PORTATORE del virus (COSA GRAVISSIMA, PER UN ANTIVIRUS)
appena parte la scansione antivirus, infettando tutto il sistema all'insaputa
dell'utente che crede di essere al sicuro. Ti ricordo che questo virus non deve
eseguire i programmi per infettarli. Basta listare la directory, aprire solamente
gestione risorse.
Mi dici a cosa serve un antivirus con un virus cosi'?
Meglio non averlo. E' stato infettato pure lui, ed e' partito lo stesso. Non si
e' accorto di nulla. Non so come abbia fatto.
Non staro' qui a dire quali AV avevo, ma sono gli stessi che avete voi. Non e'
questo il punto.
Scegli: idiota o analfabeta.
Meglio che mi dici che non hai letto bene tutti i post di questi giorni.
Toti
--
   ----------------------------------------------------------------------
                Hiroshima 45, Chernobyl 86, Windows 98
           Micro$oft: what do you want to reinstall today?Ž


Scegli: idiota o analfabeta.
Se non ti disturba preferirei coglione. :-)
Con un graaaaaaande kill file :-)
Bye Bye  ci si sente nella prossima vita. ;-)
Zac

 Rileggi quanto da te scritto.
a parte avresti al posto di avresi ( un poco disgarifico)
dicevo che visto che Buttha sciveva in quel momento da linux
il tuo kernel32.exe gli avrebbe fatto una Se*a :-))
scherzavo ovvio anzi ti ringazio di aver postato un allarme
interessante.
ciao
roberto

     >   tin/1.4.1-19991201 ("Polish") (UNIX) (Linux/2.2.13 (i686))
...beh dai, non avrei tentato di eseguirlo...
hehehe
ciao
Buttha
-- 
* Per rispondere in email rimuovere una i dall'indirizzo
* 
http://members.xoom.it/buttha/
* Attenzione: questo apparecchio e' stato sabotato

 Ti stimo, lo sai.
:)) non preoccuparti
ciao
Buttha
-- 
* Per rispondere in email rimuovere una i dall'indirizzo
* 
http://members.xoom.it/buttha/
* Hai visto Dio? Si, ed e' nera.


G R A N D E.
--
-:::-:::- PRISCILLA -:::-:::-
/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\
==============================
 Cancellare internet  prima di rispondermi
 Erase internet for replay
==============================
\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/

 non viene rilevato niente.
Beh non sono del tutto d'accordo. La ricerca normale avviene per stringa
identificativa
presa dal database. Ritrova solo ed esclusivamente virus conosciuti.
Altri tipi di ricerca invece si pongono il problema di superare questo
limite e lavorano sulle azioni intraprese da un qualunque programma.
Ovviamente i falsi allarmi si sprecano ed ecco perche' quasi tutti
disabilitano la funzione.

 Con un graaaaaaande kill file :-)
Permaloso ?
-- 
  .XO

XO ha scritto nel messaggio <384F88D1...@h.Man>...

Notevolmente, ma con un graaande sorriso!
Non ho mai capito quelli che si insultano e mettono le faccine.
Oltretutto non capisco: Toti Ognibene sta dicendo (a dire il vero sta
"strillando") a gran voce che questo babylon e' in grado di infettare "a
vista" qualsiasi cosa infettabile (ed anche qualcosa "non" infettabile); le
risposte che leggo vanno dal generico alle arance in galera solo perche' ha
OSATO dire "se pensi che il tuo antivirus si accorga di qualcosa, provalo!".
Non leggo niente di tecnico.
Gente, o lo si smentisce con dei DATI PRECISI, oppure sara' bene che gli
antivirus-gestori corrano ai ripari.
Un anno fa ho strapazzato uno che diffondeva il noto hoax "win a holiday"
dicendo che ti infettava il computer... adesso sta per succedere una cosa
simile?
Forse sarebbe il caso che gli utenti linux la smettano di ridacchiare e si
cerchi di fare qualcosa di concreto... che so, "profilassi ed igiene da
email".   ;-)
Fabrizio

Ciao
Penso che, pur con termini diversi, abbiamo detto le stesse cose.
Concordo con te che con l'euristica al massimo si rischia qualche falso
allarme, ma per questo motivo conviene tenere due antivirus aggiornati e
verificare che l'allarme non sia dovuto ad un'operazione lecita fatta da
noi (vedasi caricamento OS Loader nel Boot Sector...)
Paolo Fiore ha scritto:

-- 


Permaloso ?
Pratico. :-)
Zac

email".   ;-)
Da sempre.:-) E se segui da parecchio, mi dovresti aver letto, con post
da profilassi.
In questo caso, pero', sembra che il problema sia in un buco clamoroso
del meccanismo di help di windows, che consente di eseguire parti attive
leggendo un file hlp, il che e' semplicemente FOLLE!
E poi vuoi che noi linuxiani non ridacchiamo? prova a mettere un virus
in una pagina man, se ci riesci.
Insisto: ma perche' a redmond non riescono a fare dei programmi che
facciano solo quello che dovrebbero fare per logica? La mania del
multimediale-integrato-facciotuttoioancheilbucato ci portera' sempre
piu' in questi guai, IMHO.
Cosa c'era di cosi' tremendo nel buon vecchio file hlp da trasformarlo
in questo mostro webcentrico attuale?
Ciao.roberto
-- 
Save our planet!
Save wildlife;
For your E-MAIL use only recycled Bytes !!
roberto poggi  
rpo...@softhome.net

 in questo mostro webcentrico attuale?
Sei l'UNICO ad aver centrato il problema.
Roberto ha proprio detto TUTTO quello che c'era da dire su questo virus e su
quelli che, ahime', verranno.
Toti
Ps. Qualcuno puo' postare una traduzione di uno di quei dossier su babylonia
dove si spiega come un file HLP puo' generare tutto questo casino?
Farebbe un favore a tutti quanti.
grazie
--
   ----------------------------------------------------------------------
                Hiroshima 45, Chernobyl 86, Windows 98
           Micro$oft: what do you want to reinstall today?®


in questo mostro webcentrico attuale?
E cosa c'era di cosi' utile nel browser da doverlo integrare in modo da
rendere QUASI impossibile strapparlo dal sistema operativo? A parte il
marketing... ;-)
Mi chiedo se un win98 *CON* w98lite (ovvero, come spiegato su 
www.98lite.net
"loro hanno detto che non poteva essere fatto... e noi l'abbiamo fatto!) sia
ugualmente infettabile... forse si, ma mi piacerebbe saperlo.
Comunque oggi ho finalmente capito una cosa: NON eseguire file .HLP di
provenienza incerta.
Fino ad una settimana fa non avrei avuto dubbi.
Speriamo che esca una patch che chiuda questo buco...
Fabrizio

 leggendo un file hlp, il che e' semplicemente FOLLE!
Sembra che a Redmon preferiscano i pgm che conquistano il mercato hihihi;
questo non mi esime pero' a considerarlo come te una cosa non delle piu'
ragionevoli (cfr. un'assurdita'!). Qualcuno ha capito il dettaglio di questo
baco e prova a spiegarcelo "for dummies"?

 grazie
-- 


 
Se vuoi vengo a casa tua a pillarti l'HD e ci mettiamo una bella 
distribuzione linux...piu' concreto di cosi'. ;-)
-- 
  .XO

piallarti ;-)-
-- 
  .XO

piallarti ;-)-
X-Mailer: Mozilla 4.51 [en] (X11; I; Linux 2.2.5-15 i586)
Hem...e aggiorna sto' kernel :-))

distribuzione linux...piu' concreto di cosi'. ;-)
Grazie, ma per pillarmi :-) l'HD bastano i virus, non ho bisogno di montare
un sistema operativo che pretende di essere piu' intelligente di me ed ogni
tanto azzera l'HD perche' non uso un file system di Sua Preferenza.
Ne ho abbastanza con le stampanti intelligenti... litigo tutti i giorni col
la Panasonic 1654 ed il suo tasto "load/park" per caricare o parcheggiare il
foglio di carta... ogni tanto me ne sputa fuori uno o due, con mia grande
gioia, usando modulo continuo... ;-)
E poi voglio poter usare il software piu' adatto a me, non "quello oppure te
lo scrivi da solo". O:-)
Fabrizio


Perche', funziona cosi' bene ;-)))
-- 
  .XO