Newsgroup: it.comp.sicurezza.varie
Titolo: Credo di avere un Trojan personalizzato nel mio PC!

    Ciao a tutti!
Ho un problema.  Ho notato ultimamente che succedeva qualcosa di strano al
mio PC.
Scusate se mi dilungo un po'.
Con tutti i programmi disattivati ed attivo solo Explorer e Systray:
1) Di tanto in tanto l'HD  lavora per un secondo.   (non lo aveva mai fatto)
2) Una volta una sola icona di un file di immagine associato ad ACDSee e'
diventato un topolino blu. Non ho mai avuto icone di topolini sul mio PC
(riavviando e' tornato tutto normale).
3) Ogni tanto il tasto sinistro del mouse si comporta come se fosse il tasto
destro (apre i menu).  Riavviando tutto torna normale.
4) Ogni tanto la tastiera si comporta in modo anomalo.  Alcuni tasti si
comportano come dei collegamenti a funzioni di win98.  Ad esempio premendo
in qualunque momento il tasto "E" si apre "Trova", premendo "S"  si apre
"Esplora risorse"  ecc. ecc.  Riavviando tutto torna normale.
5) Il mio programma di masterizzazione, Nero 4.0.9.1 in Italiano,  pur
riconoscendo il mio masterizzatore Yamaha 8x4x24, mi toglie dal menu' della
selezione di velocita' le velocita'   4x e 8x.  Cioe' posso masterizzare al
max a 4x.  Riavviando tutto torna normale.
6) Mi si inchioda il sistema a caso, senza alcun perche'. Devo riavviare.
7) altre cose di cui non mi ricordo ma se e' necessario faccio uno sforzo.
Uso win98 (second edition), pentium II 350,  AVP aggiornato.
Ho provato a fare un controllo con AVP ma non ho trovato nulla se non un
paio di file "Corrotti" e alcuni altri "Protetti da password" (in
ClenSweep).  Ho provato anche a fare controllare il mio PC dal sito 
cyb.it
,
che eseguono la scansione del tuo PC e notificano la presenza di virus, ma
il controllo non ha trovato niente.
Penso che ci sia un Trojan oppure un Netbus personalizzato che i normali AV
non vedono.
Mi potete dare una mano a scoprire cosa succede?
Per prova, ho provato a eseguire un paio di    "netstat"  con i seguenti
risultati che da solo no so' interpretare.
netstat -na
NON COLLEGATO
Connessioni attive
Proto     Indirizzo locale     Indirizzo remoto       Stato
TCP         
0.0.0.0:135
 
0.0.0.0:0
        listening
TCP         
0.0.0.0:500
 
0.0.0.0:0
        listening
TCP         
127.0.0.1:1025
 
0.0.0.0:0
        listening
TCP         
127.0.0.1:1028
 
0.0.0.0:0
        listening
UPD         0.0.0.500                 *:*
UPD         
127.0.0.1:1028
        *:*
------------------------------------
APPENA COLLEGATO
Proto     Indirizzo locale     Indirizzo remoto       Stato
TCP         
0.0.0.0:1031
 
0.0.0.0:0
        listening
TCP         
0.0.0.0:1032
 
0.0.0.0:0
        listening
TCP         
0.0.0.0:135
 
0.0.0.0:0
        listening
TCP         
0.0.0.0:500
 
0.0.0.0:0
        listening
TCP         
127.0.0.1:1025
 
0.0.0.0:0
        listening
TCP         
127.0.0.1:1028
 
0.0.0.0:0
        listening
TCP         
151.28.2.77:1031
 
195.130.224.57:80
  Estabilished
TCP         
151.28.2.77:1032
 
195.130.224.57:80
  Estabilished
TCP         
151.28.2.77:137
 
0.0.0.0:0
        listening
TCP         
151.28.2.77:138
 
0.0.0.0:0
        listening
TCP         
151.28.2.77:139
 
0.0.0.0:0
        listening
UPD         
0.0.0.0:500
             *:*
UPD         
127.0.0.1:1028
       *:*
UPD         
151.28.2.77:137
     *:*
UPD         
151.28.2.77:138
     *:*
-----------------------------
APPENA COLLEGATO (seconda volta)
Proto     Indirizzo locale     Indirizzo remoto       Stato
TCP         
0.0.0.0:1044
 
0.0.0.0:0
        listening
TCP         
0.0.0.0:135
 
0.0.0.0:0
        listening
TCP         
0.0.0.0:500
 
0.0.0.0:0
        listening
TCP         
127.0.0.1:1025
 
0.0.0.0:0
        listening
TCP         
127.0.0.1:1028
 
0.0.0.0:0
        listening
TCP         
151.28.5.169:1044
 
195.130.224.57:80
  estabilished
TCP         
151.28.5.169:137
 
0.0.0.0:0
        listening
TCP         
151.28.5.169:138
 
0.0.0.0:0
        listening
TCP         
151.28.5.169:139
 
0.0.0.0:0
        listening
UPD         
0.0.0.0:500
               *:*
UPD         
127.0.0.1:1028
         *:*
UPD         
151.28.5.169:137
     *:*
UPD         
151.28.5.169:138
     *:*
-----------------------------
COLLEGAMENTO AVVENUTO E FERMO
Proto     Indirizzo locale     Indirizzo remoto       Stato
TCP         
0.0.0.0:1044
 
0.0.0.0:0
        listening
TCP         
0.0.0.0:135
 
0.0.0.0:0
        listening
TCP         
0.0.0.0:500
 
0.0.0.0:0
        listening
TCP         
127.0.0.1:1025
 
0.0.0.0:0
        listening
TCP         
127.0.0.1:1028
 
0.0.0.0:0
        listening
TCP         
151.28.2.77:137
 
0.0.0.0:0
        listening
TCP         
151.28.2.77:138
 
0.0.0.0:0
        listening
TCP         
151.28.2.77:139
 
0.0.0.0:0
        listening
UPD         
0.0.0.0:500
               *:*
UPD         
127.0.0.1:1028
         *:*
UPD         
151.28.2.77:137
       *:*
UPD         
151.28.2.77:138
       *:*
---------------------------------
netstat -r
NON COLLEGATO
Route attive:
Indirizzo rete    Maschera    Indirizzo gateway     Interfac.      Metric
127.0.0.0              255.0.0.0              127.0.0.1    127.0.0.1     1
255.255.255.255  255.255.255.255  255.255.255.255  0.0.0.0      1
Connessioni attive:
(nessuna)
------------------------------------------
APPENA COLLEGATO
Route attive:
Indirizzo rete     Maschera      Indirizzo gateway   Interfac.  Metric
0.0.0.0              0.0.0.0          151.28.7.150    151.28.7.150    1
127.0.0.0            255.0.0.0            127.0.0.1     127.0.0.1     1
151.28.0.0          255.255.0.0.       151.28.7.150    151.28.7.150   1
151.28.7.150       255.255.255.255  127.0.0.1      127.0.0.1          1
151.28.255.255    255.255.255.255 151.28.7.150   151.28.7.150   1
224.0.0.0              224.0.0.0        151.28.7.150        151.28.7.150   1
255.255.255.255  255.255.255   151.28.7.150        151.28.7.150   1
Connessioni attive:
TCP    v5w6c1:1038     
www.tiscalinet.it:80
   estabilished
TCP    v5w6c1:1039     
www.tiscalinet.it:80
   estabilished
TCP    v5w6c1:1040     
queen.tiscalinet.it:80
   estabilished
--------------------------------------
COLLEGAMENTO AVVENUTO E STABILE
Route attive:
Indirizzo rete     Maschera   Indirizzo gateway   Interfac.   Metric
0.0.0.0                  0.0.0.0          151.28.7.150   151.28.7.150   1
127.0.0.0              255.0.0.0      127.0.01          127.0.01          1
151.28.0.0            255.255.0.0  151.28.7.150   151.28.7.150   1
151.28.7.150        255.255.255.255  127.0.0.1     127.0.0.1     1
151.28.255.255    255.255.255.255  151.28.7.150  151.28.7.150   1
224.0.0.0              224.0.0.0      151.28.7.150   151.28.7.150   1
255.255.255.255  255.255.255.255  151.28.7.150     151.28.7.150   1
Connessioni attive:
(nessuna)
-------------------------------------
Ringrazio tutti da subito, anche per aver letto fino a qui.
Ciao!
Din
P.S.
Mi dite come si fa copiare qualcosa sul clipboard dalla finestra di DOS?
Non credo che l'unica cosa da fare sia quello di copiare a mano quello che
si vede.
Ho provato anche a fare un  "netstat -es"  ma il risultato usciva fuori
dalla pagina e non riuscivo a recuperare l'inizio.
(mi sono sentito un po' scemo)

 mio PC.
-- 
 ================================
|            MACS2K :D           | 
 ================================
| Togli NOSPAM dall'indirizzo    |
| per rispondermi via email      | 
 --------------------------------
| Remove NOSPAM from the address |
| to reply                       |
 --------------------------------

 che li mette in esecuzione, e anche di rimuovere fisicamente dal pc.
    Ok.  Ho appena fatto partire il download.  Ma non ho capito se sono
Freeware o Shareware o Demo o cosa.

 che li mette in esecuzione, e anche di rimuovere fisicamente dal pc.
    Innanzi a tutto:   Grazie mille per avermi risposto!
    OK.  Ho appena fatto partire il download.  Ma non ho capito se sono
Freeware o Shareware o Demo o cosa.
Grazie e Ciao!
Din

 Freeware o Shareware o Demo o cosa.
-- 


 dalla pagina e non riuscivo a recuperare l'inizio.
Scrivi comando >filedioutput, ad esempio
netstat -na >c:\windows\desktop\netoutput.txt
manda l'output di netstat nel file c:\windows\desktop\netoutput.txt
Ciao!
--
dario...@iol.it
http://dariobrunocorti.freeweb.org
ICQ#: 37438061
--
MS Windows: quante volte vuoi formattare oggi?

(mi sono sentito un po' scemo)
Prova cosi':  netstat -na >esito.txt
 
Dovresti trovare il file col risultato in c:\windows. 
Puo' essere utile anche netstat -na >PRN: , per stampare il risultato
Lapalissiano
ICQ 57269703

(mi sono sentito un po' scemo)
Prova cosi':  netstat -na >esito.txt


Ovvio, perchè non c'è alcun trojan.
[...]
 dario, non so che mestiere fai e quanto guadagni adesso, ma un posto
nelle file del marketing microsoft te lo sei assicurato.:-)
Ciao.roberto
-- 
Save our planet!
Save wildlife;
For your E-MAIL use only recycled Bytes !!
roberto poggi  
rpo...@softhome.net

 nelle file del marketing microsoft te lo sei assicurato.:-)
Come cattivo esempio, pecora nera, capro espiatorio o cos'altro ? ;-)
Bye, G.

 Come cattivo esempio, pecora nera, capro espiatorio o cos'altro ? ;-)
Come persona da non assumere MAI. Ma non c'è pericolo...


 Din
    Mi rispondo da solo:
Sono andato su VOLftp dove era indicato:
AVP NETWORK AGENT  freeware
AVP SYSTEM WATCHER  shareware (pero' senza ulteriori indicazioni)
Din

6) Mi si inchioda il sistema a caso, senza alcun perche'. Devo riavviare.
questo allora può essere anche un problema hardware... Overclock?
Impostazioni bios troppo aggressive? Ram bacata? Scheda madre che sta
per prendere il volo? Hard disk difettoso?
Bye Krmel
Microsoft Outlook Express: cosa vuoi postare postare postare postare oggi?

 Microsoft Outlook Express: cosa vuoi postare postare postare postare oggi?
credevo fosse tin tin tin tin tin tin tin tin tin tin
oppure in ter ter ter ter ter ter ter ter busi-ness
(italian locazlization of loch-ness dracon)
con libero non mi capita
ciao, a.

 Come cattivo esempio, pecora nera, capro espiatorio o cos'altro ? ;-)
addetto alle p.r.
se dopo aver parlato con lui uno compra win...
ciao, a.

Mi dite come si fa copiare qualcosa sul clipboard dalla finestra di DOS?
Modifica->Segna->segni col mouse->Enter.
Altrimenti netstat ... > file.txt, e poi NOTEPAD file.txt
Leonardo
".signature": bad command or file name

Che diavolo e'???
     ^^^^^^^
De', allora lo sai! Se vuoi ho un ottimo consiglio che ti consente
di aumentare la stabilita' del sistema e risparmiare 1500K di RAM,
il tutto semplicemente cancellando UN file ;-)
Leonardo che da quando l'ha fatto Agent 'un gli si pianta piu' :-)


nelle file del marketing microsoft te lo sei assicurato.:-)
Direi che Dario e` un candidato perfetto per passare a qualche altro SO
prima o poi... come mai non hai ancora fatto il salto, dario? :) 
-- 
The Hitman - 
http://members.xoom.it/hitman/
e-posta: 
sonic...@tiscalinet.it
 <-- *NUOVO*  
powered by SlackWare 7.0 - install at your risk :) 
"better dead than slave"

 si vede.
Prova a cliccare su quell'icona in alto a sinistra....
Tuo
\/\/owbagger (L'Eterno Prolungato, ofcòrs!)

 Prova cosi':  netstat -na >esito.txt
[snip]
Grazie mille!
Ciao!
Din

 Ciao!
    Grazie mille!
Scusami ma non aveva detto qualcuno (credo il mitico Leonardo Serni)  che se
non c'e' connessione il risultato di "netstat -na" dovrebbe essere "Nulla"?
E allora perche' io ottendo i seguenti dati con nessun programma in
esecuzione (solo explorer)?
Connessioni attive
  Proto  Indirizzo locale      Indirizzo remoto             Stato
  TCP    
0.0.0.0:135
 
0.0.0.0:0
              LISTENING
  TCP    
0.0.0.0:500
 
0.0.0.0:0
              LISTENING
  TCP    
127.0.0.1:1025
 
0.0.0.0:0
              LISTENING
  UDP    
0.0.0.0:500
            *:*
Ciao!
Din
---------------------------------------------------------------------
Sei uno studente universitario? Sei di Genova?
Sei un goliarda? Se tra le  risposte c'e' un SI oppure un NO,
allora dai un'occhiata al sito del Dogatum Genuense:
http://www.goliardia.org/dogatumgenuense/
---------------------------------------------------------------------

 sistema.
Precisamente?
Grazie ciao!
Din

Scusa sono FUSO: necessito di maggiore input!
Prendi il file EM_EXEC.EXE e rinominalo in EM_VAFFA.EXE. Magari vedi
se trovi dov'e' caricato nel Registry (RunServices, credo), e levalo
anche da li'.
Non succede niente, tranne che si libera RAM, e Windows si pianta un
po' meno.
(Tu dirai: ma come, e allora a che serviva? Ed io ti diro': non sono
mai riuscito a capirlo. Quando la Logitech l'ha scritto, si dovevano
essere fumati un topo morto da troppo tempo).
Leonardo



veramente togliendolo non si hanno più alcune funzioni del mose come
p.es
. "doppio click" con il quarto tasto per il pollice e altre
funzioncine.
--
 Ciao.
       SaMira ^-^
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
    FYI: aeiou. sono di troppo nella mia e-mail
    Is there something I should know?
 <<Simili ad una risposta, i tre slogans 
sulla facciata del Ministero delle Verità...
        LA GUERRA E' PACE
    LA LIBERTA' E' SCHIAVITU'
      L'IGNORANZA E' FORZA>>
       [1984 - George Orwell]

> essere fumati un topo morto da troppo tempo).
ROTFL!!!!!!!!

funzioncine.
ROFL ;-)
Giusto, si perde l'accelerazione progressiva a spin paro-iberbolico
con traiettoria leggermente curvilinea - funzione che può essere utile
circa una volta ogni età dell'universo, ma che sicuramente succhia
risorse e interferisce con molte applicazioni. 
Bye Krmel


il tutto semplicemente cancellando UN file ;-)
Cosa essere EM_EXEC.... ?
Sono curioso anch'io, anche se Win non lo vedo piu` da un pezzo... :)


finestre (help, etc.) e si perde l'uso del tasto centrale.
Ah, ecco. Non usando ne' l'help ne' il tasto centrale, non me n'ero
accorto.
Grazie della precisazione :-)
Leonardo ("DEL C:\PROBATN\EM_EXEC.EXE")



p.es
. "doppio click" con il quarto tasto
Quarto tasto? Quale quarto tasto?
Leonardo Trackman Marble 3 tasti


 Quarto tasto? Quale quarto tasto?
uff ! :)
usi linux, vero ? seno' lo sapresti...
1. ctrl
2. alt
3. canc
4. reset hw (*), x il reboot non basta.
ciao, a.
--
andrea dot palazzi at tin dot it
free vb/sw: 
http://www.comune.modena.it/cittadini/apal/html/
(*) non si considera qui la "variante conan", il red switch.


iQA/AwUBOPY0IgUtk8AhKzHPEQJhXgCfebapm6kY4xMyGT1iF5/kCT0920wAoMrj
/VAVRsrsdBPTyo4jU1CGUS+N
=WM0V
-----END PGP SIGNATURE-----


io ho il "Mouse man wheel" logitech ha un pulsante sul lato sinistro
da usare con il pollice (io lo uso per il doppio click) eliminando il
file EM_EXEC.EXE quel pulsante non funziona più.
-- 
     Ciao. SaMira ^-^
~~
* Simili ad una risposta, i tre slogans sulla facciata del Ministero delle Verità... LA GUERRA E' PACE    LA LIBERTA' E' SCHIAVITU'   L'IGNORANZA E' FORZA>> [1984 - George Orwell]
* [FYI: aeiou. sono di troppo nella mia e-mail]


nessuno ti obbliga ad usare quelle funzioni e se non le vuoi usare
cancella pure il file EM_EXEC.EXE, ciň non toglie che poi non avrai
quelle funzioni ;-))
-- 
     Ciao. SaMira ^-^
~~
* Simili ad una risposta, i tre slogans sulla facciata del Ministero delle Veritŕ... LA GUERRA E' PACE    LA LIBERTA' E' SCHIAVITU'   L'IGNORANZA E' FORZA>> [1984 - George Orwell]


(*) non si considera qui la "variante conan", il red switch.
"variante conan"...
Io pensavo che fosse predere il PC con forza e scaraventarlo
dalla finestra :-)
-- 
Lorenzo
"Given enough eyeballs, all bugs are shallow", Linus'Law
(address rot13 encoded)

    Ragazzi, mi siete dimenticati di me?  Ho postato circa 26KB di testo,
usando i vari programmi di AVP.  Non e' servito a nulla?

 usando i vari programmi di AVP.  Non e' servito a nulla?
no: 26kb ti testo sono troppi. Uno deve prendere ferie per poter leggere
tutto.
Cmq, gli ho dato un'occhiata e sembra tutto regolare.
L'unica cosa che non conosco e' C:\WINDOWS\SYSTEM\PSTORES.EXE
cosa e'?
ciao
Buttha
-- 
* Per rispondere in email rimuovere una i dall'indirizzo
* 
http://members.xoom.it/buttha/
* Venderemo cara la pelle... il cuoio un po' meno, pero'.

 cosa e'?
Sta per Protected Storage Server e fa parte del Microsoft(R) 
WindowsNT(R) Operating System.
Non mi ricordo se faccia gia' parte di W98, o venga installato da 
un aggiornamento fatto via WindowsUpdate o dalla installazione dei 
Windows Media Tools.
-- 
 ================================
|            MACS2K :D           | 
 ================================
| Togli NOSPAM dall'indirizzo    |
| per rispondermi via email      | 
 --------------------------------
| Remove NOSPAM from the address |
| to reply                       |
 --------------------------------

quelle funzioni ;-))
Pensavo che dicessi per scherzo del quarto tasto ;-) Già il terzo si
usa poco (che poi volendo sarebbe il quinto visto che i mouse attuali
hanno tre tasti più la rotellina centrale ;-) Io per il doppio click
mi trovo ancora bene a usare l'indice :-)


usando i vari programmi di AVP.  Non e' servito a nulla?
Se era quel post di 1098 righe, e' servito a dimostrarmi che il filtro
contro i messaggi oltre le 500 righe funziona: infatti non ho ricevuto
niente oltre agli headers.
Leonardo


 niente oltre agli headers.
Intendi qualcosa come questa riga nel mio suckkillfile?
HILINES=5000
-- 
Pierluigi De Rosa (
tho...@durin.khazad-dum.net
).
<<      LINUX: the choice of a GNU generation     >>
<<   For my real address... ask the Balrog.       >>
* Sostenete la Lega per la Soppressione dei Troll *


Questione di abitudine, cmq è anche vero che occupa memoria e che a
volte il mouse "impazisce" per qualche secondo, quindi se uno non
sente ;-) il bisogno dei vari pulsantini, scroll ecc. puo'
disabilitare quel file.
 Ciao.
       SaMira ^-^
-- 
* <<1500 anni fà tutti sapevano che la Terra era il centro dell'universo,
500 anni fà tutti sapevano che la Terra era piatta,[cut],immagina cosa 
saprai domani.>> [dal film "MIB - Man In Black"]


       SaMira ^-^
Non solo, ma pure le schermate DirectX si ritrovano spesso orribili
riquadri di pixel sporchi che si muovono col mouse...
Cmq il driver incluso in Win98 i tre tasti e la rotellina li
gestisce...


 cosa e'?
Grazie, mi conforti molto.
Ciao!
Din

 Grazie, mi conforti molto.
e' il nome del programma PSTORES.EXE? :)
ciao
Buttha
-- 
* Per rispondere in email rimuovere una i dall'indirizzo
* 
http://members.xoom.it/buttha/
* Noi vogliamo le vostre critiche, vogliamo ascoltare tutto cio' che
  volete dirci: che siano accuse, che siano proteste che siano grida... 
  non abbiate timore... parlate dopo il segnale acustico (C.Guzzanti)