Newsgroup: it.comp.sicurezza.varie
Titolo: 402399AE.EXE che cosa è ??

Il firewall mi dice che il processo 402399AE.EXE che si trova in 
windows/system32 cerca di connettersi all'IP 212.217.x.x sulla porta 6667 .
cosa puo' essere ?
Grazie

 6667 . cosa puo' essere ?
Dialer? Spy?
Leggi 
http://www.romanelmondo.com/sugg/spy.htm
 e
http://www.romanelmondo.com/sugg/telecomrideiono.htm
-- 
Andy
~ : ~ : ~ : ~ : ~ : ~ : ~ : ~ : ~ : ~ : ~ : ~
 
http://www.romanelmondo.it
 [.com]
~ : ~ : ~ : ~ : ~ : ~ : ~ : ~ : ~ : ~ : ~ : ~
Yahoo ID andrea26272  #  § MM §

 
http://www.romanelmondo.com/sugg/telecomrideiono.htm
Non spariamo suggerimenti a caso solo per far comparire il tuo url del
tuo cazzo di sito.
un dialer che si connetta alla porta IRC lo hai visto solo tu.
quella rete 
212.217.0.0/16
 appartiene ad una rete marocchina, quindi
probabilmente non ha neanche a che fare con gli spyware.
In base a questi due indizi, direi che trattasi di un malware che
si sta connettendo forse ad una rete di irc bot su server probabilmente
abusato.
Magari quel malware e' riconosciuto dalle case antivirus.
E se il poster ha voglia, puo' inviarmelo per email, in modo da vedere
di cosa si tratta.
The Elf, per cortesia, evita di dare informazioni sbagliate solo per far
marchette al tuo sito. Stai facendo girare le pelotas a tutti, stai
facendo disinformazione e non aiuti a risolvere i problemi. Vedi di
piantarla qui, grazie.
HappyCactus che l'idiozia della gente non ha confini

 di cosa si tratta.
infatti , ho fatto un tracert e risulta essere in marocco....
Strano pero' perchè ho antivirus aggiornato e di solito sto attento..
Te lo mando via mail.
Ciao e Grazie.

 Magari quel malware e' riconosciuto dalle case antivirus.
....o dai programmi segnalati nella pagina antispy che avevo suggerito?


 suggerito?
se hai mal di testa, puoi anche provare a darti una martellata sul
piede, magari funziona.

 piede, magari funziona.
........un malware non è detto venga riconosciuto da un antivirus ("Magari
quel malware e' riconosciuto dalle case antivirus" - cit.) mentre molto
più probabilmente i tools che ho segnalato possono individuarlo.


 più probabilmente i tools che ho segnalato possono individuarlo.
Su che basi fondi questa tua affermazione?
Argomenta, e sii convincente.
HappyCactus che di malware ha una certa qual esperienza...

 HappyCactus che di malware ha una certa qual esperienza...
Dalla tua certa "qual esperienza" sotieni che i programmi
antispy/malware/ecc. sono inutili perchè ci sono (forse) antivirus che
"magari possono riconoscere un malware"?
Spyware, malware, trackware dialer e via dicendo talvolta incidentalmente
vengono segnalati da alcuni antivirus..............ma ciò significa forse
che un antivirus possa fare il lavoro di programmi tipo SpyBot, AdAware,
Bazooka Adware and Spyware Scanner ecc. ecc.?


 tipo SpyBot, AdAware, Bazooka Adware and Spyware Scanner ecc. ecc.?
Assolutamente si', in quest'ambito.

 citati dialer/spyware.
Non è che mi fai un favore se li consideri malware :-)
E' la prassi (vedi anche 
http://it.wikipedia.org/wiki/Malware
).
<serio>
E' piacevole ed istruttivo discutere con una persona preparata come te.
</serio>


 Te lo mando via mail.
Già che ci sei ... fai un salto pure su
http://housecall.trendmicro.com/housecall/start_corp.asp
è lo scanner online di TrendMicro, alla connex
dovresti vedere una dialogbox che ti chiede se
installare un'activex, si tratta dello scanner, non
di un trojan, una volta installato vedrai comparire
nel browser il pannello di controllo dell'antivirus
seleziona le unità da controllare e se possibile
metti la spunta su "auto clean" poi fai girare l'AV
Ciao e .. facci sapere !!
-- 
* ObiWan
DNS "fail-safe" for Windows 2000 and 9X clients.
http://ntcanuck.com
Support and discussions forum
http://ntcanuck.com/net/board
408 XP/2000 tweaks and tips
http://ntcanuck.com/tq/Tip_Quarry.htm

 Happy che minchia di strano worm emule era questo ?
Hm .. "emule" ?!? Non sono proprio sicuro potrebbe
essere un bot, un'eggdrop o uno dei soliti "zombies
per DDoS" ... ma ovviamente senza ulteriori info non
è possibile dirlo... ad ogni modo potrebbe essere
interessante farlo girare su una sandbox (es. WinE)
e sniffare il traffico (oltre che disassemblare il "coso")
magari ne viene fuori qualcosa di "carino" :-)

 
http://www.romanelmondo.com/sugg/telecomrideiono.htm
Dialer che lavora a livello tcp/ip?
Leggi 
http://www.romanelmondo.com/sugg/sm.htm
Fabio

 Leggi 
http://www.romanelmondo.com/sugg/sm.htm
Interessante (me la sono cercata) :-D
...ehm...perché non 
http://www.romanelmondo.com/sugg/sf.htm
? :-p


 Happy che minchia di strano worm emule era questo ?
diversi antivirus lo identificano come reur-d aka Win32/HLLW.Reur.D
(karpersky e RAV), e lo stesso poster me l'ha confermato in altra sede.
Trattasi di worm che si propaga su rete eMule, scritto di delphy (ROFL)
e compresso non con UPX (e quindi non posso sventrarlo con gli
strumenti che ho ora a mia disposizione) 
La cosa che mi lascia perplesso e' che nelle analisi non si fa menzione
a irc, bot per DDoS, reti P2P naif e neppure a backdoors o altro.
Potrebbe anche essere una variante, o, come sottolineato da Obi, un
dropper di uno o piu' malware di altro genere, e gli av ne rilevano solo
la parte mobile come reur.d.
Concordo, sarebbe interessante porlo in ambiente controllato. Lo metto
da parte per i giorni di cazzeggio (probabilmente quando saro' in
pensione, ammesso che ci arrivi).

 pensione, ammesso che ci arrivi).
Nah, se veramente vuoi farlo girare su "sandbox" non aspettare piů
di tanto, gli host di connessione vanno e vengono per cui meglio se
possibile fare il test in fretta .. sempre che tu sia curioso di vedere che
cosa combina la "bestiolina" btw :-)
Ciao


 vedere che cosa combina la "bestiolina" btw :-)
Curioso, si. tempo pero' non ne ho. Se tu hai voglia di farlo, devi solo
dirlo.

 altro.
Stupido che sono!
Mi dicono dalla regia che eMule usa, tra le porte di default, anche la
6667. Non ho trovato riscontro su google (m'era, in effetti, venuto il
dubbio), ma se cosi' fosse (e mi fido ciecamente della fonte, grazie
Fabio!) ovviamente sarebbe tutto spiegato. Il worm si connette alla rete
eMule tramite tale porta e si propaga. E' il comportamento del worm,
quindi nessuna necessita' di scomodare dropper, varianti, backdoors,
reti di bot o porcate varie.

 reti di bot o porcate varie.
Doh (alla homer simpson) & PAFF (pacca sulla fronte) .. hai ragione !!
Mi sono fatto "trasportare" dall'idea che potesse essere un DDoS bot
ma non sembra il caso (anche se la sicurezza al 100% non c'č), cmq
per quanto riguarda provarlo (vedi post prec.) .. il tempo manca anche
qui ... anche se mi piacerebbe parecchio :-) č un tot che non smanazzo
nelle viscere di "bestie strane" <g>
Uh .. visto che ci siamo (scusate l'OT) avete x caso notato visite "strane"
da parte di googlebots ultimamente ? Ho dei logs pieni di "simil-google"
e a parte alcuni coreani che "giocano al bot-spoof" ho paura che si possa
trattare di qualcuno che sta facendo le prove generali per qualche "bestia"
Ciao

 dirlo.
Heh .. il tempo ultimamente (oddio da un tot) è diventato merce rara
sempre che qualcuno non inventi le giornate di 72 ore naturalmente
(speriamo di no, già mi bastano le giornate "normali") :-)
Ciao

 (speriamo di no, già mi bastano le giornate "normali") :-)
Quando le inventano, fammi un fischio.
Anche se temo che diventerebbero comunque troppo corte.

 sorgenti in delphy, da cui la mia perplessita'.
delphI non delphy, porcaputt :)

 delphI non delphy, porcaputt :)
o delPRRRRRRRRRRRRRi, dipende dai punti di vista *VBEG*
-- 
-=[]=---iAN CooG/HokutoForce+TWT---=[]=-
A feature is a bug with seniority.

 delphI non delphy, porcaputt :)
era un tipo, sorri.
HappiCactus e la nefasta influenza iankee sulla cultura classica.

 
figurati :D

 strumenti che ho ora a mia disposizione)
...mi meraviglio di te..........
:-o
guest


Appropo'... già che ci siamo, qualcuno conosce un sistema
per decomprimere file compressi con "Petite" ?
Avrei per le mani una schifezzuola che vorrei sventrare,
appena ho un paio d'ore.
Bye, G.

 appena ho un paio d'ore.
Come già postato sopra ... hai dato
un'occhiata qui 
http://protools.cjb.net/
 ?

 ...mi meraviglio di te..........
Se vedessi la mia TODO list, saresti meno stupito
HappyCactus e i tripli lavori


ahh....TODO.... avevo capito TOPa list....
Guest dai suoi tripli^27 lavori...!


me lo ricordo nell'elenco dei compressori, francese, niente di che.
Solitamente se segui passo passo il codice te la cavi sempre con un paio di
breakpoint fino ad arrivare al vero entry point del programma.
c'è una utility chiamata unp.exe se non vado errato (ricordi mooolto
remoti...!)- se non lo trovi fammi sapere,
guest

 E' piacevole ed istruttivo discutere con una persona preparata come te.
Concordo, i contributi di HappyCactus li leggo sempre con molta,
giustificata attenzione su diversi ng.
Riguardo alla critica che negli ultimi giorni viene spesso espressa sul
fatto che tu segnali  spesso il tuo sito non prendo posizione ma esprimo un
giudizio. E' fatto bene ed è un'ottima risorsa, inoltre è un tuo LAVORO
(tempo, impegno, dedizione) offerto gratuitamente alla comunità, io stesso
l'ho consultato spesso con profitto. Per questo vai ringraziato.
Che l'orgoglio e la passione ti spingano a invitare a visitarlo mi sembra
legittimo, mal che vada non si trova nulla di interessante, ben che vada si
trova il software che si cercava da tempo, un utile suggerimento o uno
spunto di riflessione.
Certo, "Roma nel mondo"... non rende l'idea :-)
-- 
Ciao, MasviL
PGP Key ID: 0x3AF7DD61
ICQ# 5364346

per decomprimere file compressi con "Petite" ?
http://www.crackbest.com/unlock/pedump/unpec132.zip
Leonardo non garantente
-- 
"Se e' vero che Linux in se' e' gratis, non lo sono le indispensabili
interfacce grafiche (X, KDE ecc.) che consentono alle persone normali
di utilizzarlo."                    -- Jason Matusow, Microsoft Corp.