Newsgroup: it.comp.sicurezza.varie
Titolo: AIUTONE...TROJAN??

mio Netstat a macchina appena accesa, off-line:
C:\>netstat -na
Connessioni attive
  Proto  Indirizzo locale         Indirizzo remoto             Stato
  TCP    
0.0.0.0:6776
 
0.0.0.0:0
              LISTENING
nome file che comunica su questa porta "KERNE1.EXE" IN c:/windows/
ma che d'e'???? qualcuno ne sa qualcosa? non capisco cosa sia dal momento
che oltre all'eseguibile trovo un "Kerne1.lgc" ma stavolta sotto
windows/applog
aiutami se puoi, ti prego...

   TCP    
0.0.0.0:6776
 
0.0.0.0:0
              LISTENING
Dai un'occhiata alle faq: 
http://members.xoom.com/gouldukat/

potresti essere tu a dirmi cosa non va...ho problemi a collegarmi a internet
ciao
666 <6...@666.666> wrote in message 82c6pi$1d1$1...@nslave2.tin.it...


windows/applog
Fai una bella cosa: Rinomina l'eseguibile in "KERNE1.EX-" e KERNE1.LGC
in "KERNE1.LG-". Riavvia e vedi che succede. Lascia passare qualche
giorno e se tutto fila liscio cancella entrambi i file.
Ciao.

ma che d'e'???? 
Un nome fatto apposta per mimetizzarsi (KERNE1, in minuscolo kerne1, e'
similissimo a kernel, in maiuscolo KERNEL); una porta >WKS in listening
e un numero di porta stronzo (67=76 al contrario); e un file che non fa
parte della distribuzione Windows.
Diagnosi: trojan.
Prova a vedere le proprieta' di KERNE1.EXE da Esplora Risorse, o fai
	TELNET localhost 6776
da Avvio\Esegui.
Leonardo
".signature": bad command or file name

 >


 >  TCP    
0.0.0.0:6776
 
0.0.0.0:0
              LISTENING


la TCP 6776..ma non capisco cosa diavolo sia!!!!!!
E' un trojan. Per la precisione la backdoor "SubSeven". Ti serve un antivirus,
AVP (
www.avp.it
) va piu' che bene. O puoi usare un kewl proggie come quello su
http://memsoft.cjb.net
.


netstat la vedo IO!!!!
Hai provato se Avp System Watcher vede in che modo viene lanciato il
file incriminato? 
Puoi trovare questo programma all'inidrizzo
http://www.avp.it/future.htm
Lapalissiano

mah??? 
Si, credo proprio si tratti di file di log di windows98. Ne viene
creato uno per ogni applicazione che lanci e viene usato in fase di
deframmentazione del disco per rendere piu' accessiibli i programmi
che fai girare piu' frequentemente.
Lapalissiano

La porta non porta a nulla: )) (scusa il gioco di parole)
Insomma non è una porta di solite backdoor se non erro. Però c' è da dire il
nome del file è sospetto, abzi troppo sospetto. In windows c' è un file
chiamato kernel.exe (o kernel32.exe? non ricordo è da molto che non uso win
9x e non sono neanche sicurose è un EXEcutable o un DynamicLinkLibrary) e il
nome è molto viino a questo. Quindi posso dirti che quasi sicuramente, anzi
secondo me di sicuro è un trojan. Anche se lo cancelli non è che hai risolto
molto in alcuni casi. Devi cancellare la chiave del registro e del file ini
che la fà eseguire (win.ini o system.ini? A me sembra l' ultima cmq). già se
cancelli la chiave sei quasi a posto. Poi cancellando anche il file a cui si
riferisce l' operazione è riuscita.
I file nella cartertella applog potrebbero anche essere dei log (come
suggerisce il nome della cartella :))). Se vuoi mi offro volontario ad
eseminarli :)))
Basta che me le invii in mail.
ma hanno tutti lo stesso nome + o -?
O hanno nomi diversi?
Se hai bisogno di aiuto io sono quì :)))
Ciao
--
     The Crazy Hack
http://come.to/thecrazyhack/
the_cra...@bigfoot.com
[>§----------§I.B.C. Member§----------§<]

fai 1 kosa:
-skarikati il Jammer : ke ti dice kosa ti parte all'avvio del pc coi
registri, ti fa il netstat, kontrolla le porte e facilmente potrai
risolvere:
una volta ke vedi ke i registri avviano qualkosa d strano tu clikki e il
jammer lo kancella :-))))
komunque skarikati anke il Conseal PC Firewall e l'atguard
-kon l'atguard ti verra' segnalato il programma ke cerka di konnettersi
all'esterno dal tuo PC, tu prendi e lo kancelli
-usa 1 antivirus
-poi in konklusione disinstalla pure l'aguard e tieniti il Conseal Pc
Firewall + il Jammer (kosì non t romperai + a skrivere netstat al dos!!!)
Ci4uZ :)))
(´'|li.Ghø§t ^ Pi®4Te,il|'`)
              frøm
       H B R    Cr£w

 netstat la vedo IO!!!! e poi quell'altro file KERNE1.LGC
Li' dentro che c'e'?

ahhhh boh, ormai ho cancellato tutto (non *formattato*) sono salva!!! le
chiamate erano dentro il system.ini..cmq Leo mi aveva confermato che era un
Trojan....
la cosa che non mi va giù rimane una: dove mi sono infettata??? mah....
RINGRAZIO TUTTI QUELLI CHE MI HANNO AIUTATA
PS Seguo con molto interesse la vicenda relativa al Babylon...ritengo che
fare informazione sia davvero importante...
Toti ti posso rubare la "signature"?


 Toti ti posso rubare la "signature"?
Io sono stanco di quella signature, se la vuoi...
Sto pensando di "adottare" quella di Roberto e dei suoi bytes... riciclati!
--
   ----------------------------------------------------------------------
                Hiroshima 45, Chernobyl 86, Windows 98
           Micro$oft: what do you want to reinstall today?®
     Windows 98: se lo conosci lo eviti; se lo conosci non ti uccide.
   ----------------------------------------------------------------------

 risolvere:
Mi sa che ti sei beccato il virus che mette le k al posto delle c.
Lo dico sempre io: OCCHIO!!!
Toti
--
   ----------------------------------------------------------------------
                Hiroshima 45, Chernobyl 86, Windows 98
           Micro$oft: what do you want to reinstall today?Ž


Sto pensando di "adottare" quella di Roberto e dei suoi bytes... riciclati!
E' gpl, pertanto....;-)
Ciao.roberto
-- 
Save our planet!
Save wildlife;
For your E-MAIL use only recycled Bytes !!
roberto poggi  
rpo...@softhome.net

 Lo dico sempre io: OCCHIO!!!
Non è ke l'ho bekkato, è ke il virus sono io!!!! ;-))
ByEz


   ----------------------------------------------------------------------
Senza offesa (forse non sono il primo che te lo fa' notare...)
X-Mailer: Mozilla 4.5 [it] (Win98; I)
                            ^^^^^
...ma predichi bene e razzoli male :-)
-- 
    .--.    PeNgUiN InSiDe!! 
   |o_o |   E-mail: farnis(chiocciolina)
libero.it
 
   |:_/ |    Fiat 500 Web Site: 
http://www.poli.studenti.to.it/~f.sirna
  //   \ \    Fiat 500 Mailing List: 
fia...@onelist.com
 (|     | )  
/'\_   _/`\  Farnis is on a Compaq Contura Aero 486Sx/25,4MB,170HD
\___)=(___/   with Linux Debian 2.0 (Kernel 2.0.37)
 

 ...ma predichi bene e razzoli male :-)
Se leggi il messaggio postato qualche giorno fa su uno dei NG della sicurezza
(non ricordo quale) capirai che non uso la versione di win98 originale, bensi
una senza il virus piu' potente al mondo: exploDer.
In ogni caso non capisco una mazza di altri sistemi e dalle mie parti si dice:
"Vuoi stare bene? Lamentati!"
Ps. A proposito, dove e' messa quella stringa (WIN98) che la cambio subito? E'
di sicuro in qualche DLL, oppure in explorer.exe... cerchero'...
Toti
--
   ----------------------------------------------------------------------
                Hiroshima 45, Chernobyl 86, Windows 98
           Micro$oft: what do you want to reinstall today?®


> Non è ke l'ho bekkato, è ke il virus sono io!!!! ;-))
ke SkiFo!
