Newsgroup: it.comp.sicurezza.varie
Titolo: [HELP]Script dannoso e non desiderato

Su di un Pc continua a mettermi nelle impostazioni di internet
explorer come pagina iniziale quella di un sito porno e non si riesce
più ad eliminarlo tutte le volte che si riavvia la macchina contnua a
ricomparire, guardando nel registro di sistema è inzuppato in varie
parti questo sito , facendo delle prove con un computer protetto
andando su quel sito cerca di lanciare degli script ma vengono
bloccati.
Come posso fare a levarlo dal pc che ha beccato questo script,
oltre a metterla come pagina iniziale c'è la possibilità che faccia
danni più grossi!?!?!?
se può essere utile posso darvi l'indirizzo di quel sito porno che
manda quello script!
Ciao Filippo

 ha scritto nel messaggio
news:3c349e83...@news.iunet.it...

Spero che il sito non sia www,solosesso,supereva,it perchè da qualche giorno
sta rompendo le OO con lo spam. Comunque fruga tra i registri e vedi di
cancellare le varie chiavi relative al sito. Cerca poi di scovare lo script,
magari nascosto in vbs.
Mi appello cmq a chi ne sa più di me.
Gigahertz

 ricomparire....cut
Facci sapere l'URL del sito, da questo è facile capire di cosa si 
tratta....una sguardatina al codice html e via...:)
-- 
Dmitry on UNIX System V 
Send me suggestions and questions to: 
dmi...@x-privat.org
PGP FP: B61A F1FA 9B99 A3BD 5D2B 6D99 8D3A 5C92 3525 3509
Tesi, antitesi e sintesi...contro la globarizzazione informatica..
______________________________________________________________________________
Posted Via Binaries.net = SPEED+RETENTION+COMPLETION = 
http://www.binaries.net

 danni più grossi!?!?!?
Prova a controllare queste voci nel registro. 
HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main\Start Page 
HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main\Search Bar 
HKEY_CURRENT_USER\Software\Microsoft\Internet 
Explorer\Main\Default_Page_URL 
HKEY_CURRENT_USER\Software\Microsoft\Internet 
Explorer\Main\Default_Search_URL 
HKEY_CURRENT_USER\Software\Netscape\Netscape Navigator\Main\Home Page
Spero di esserti stato utile.
Ciao
-- 
Togli la S da 
abe...@virgilio.it
 per scrivermi.

HKEY_CURRENT_USER\Software\Netscape\Netscape Navigator\Main\Home Page
[CUT]
Non è supereva ma 
www.mycpworld.com
 ,
comunque il registro l'ho già scandito tutto eliominando dove trovavo
il nome di questo sito!

Ho trovato la  soluzione!
non so come ma nella HKCU\Softwre\Microsoft\Windows\CurrentVersion\Run
c'era un comando regedit /s che lanciava un file tmp con all'interno
tutte le chiavi di internet explorer che s settavano con l'indirizzo
indesiderato!
L'ho scoperto utilizzando il programma Tcmonitor che si installa
assieme a the cleaner!
Ciao Filippo

 c'era un comando regedit /s che lanciava un file tmp con all'interno
quindi se facevi a monte un bel DEL *.tmp avresti risolto tutto al volo, no?

quindi se facevi a monte un bel DEL *.tmp avresti risolto tutto al volo, no?
Meglio ancora un bel deltree temp

 Meglio ancora un bel deltree temp
Nope, da quanto dice era un file .tmp non un file nella temp...
Per inciso: piccoli schifosi bastardi, vadano un pochino a farsi f*tt*r*.
Ma come fanno ad aver inserito una chiave nel registry? Qualcuno deve aver
lanciato un exe, da VBS non e' possibile (cioe', E' possibile, ma non via
browser)...
Prossima volta, consiglio generico, find approfondito, prima nel registry
poi in tutti i file, chiave di ricerca (nel caso della ricerca file, come
"testo contenuto") il TLD del sito (
www.microsoft.com
 avrebbe quindi come
chiave "microsoft"). Questo dovrebbe coprire bene o male tutte le
possibilita' (e richiedere un paio d'ore di scansione, da cui l'inciso qui
sopra...), eccetto una stringa scrambled ma in questo caso siamo davvero a
livelli da paranoia...
Ciaotutti,
*

quindi se facevi a monte un bel DEL *.tmp avresti risolto tutto al volo, no?
Bell'idea !!!! anzi bel consiglio mi sa che aggiungerò una bella riga
nell'autoexec!
ps se mi risponedevi prima non avrei dovuto fare tutto quello che ho
fatto!

 livelli da paranoia...
Naaa, basta poco. Se vuoi controllare come funziona, ti creo un accesso
con user e pass al "mio" sito. Ovviamente è solo un accesso con utente
"guest", non posso spubblicare in rete un accesso root...
http://umberto:e...@www.paperino.it
%403475957466
Quando hai fatto, poi, prova questo:
http://
3513587746
@3484559912/o%62s%63ur%65%2e%68t%6D
Bye, G.

 http://
3513587746
@3484559912/o%62s%63ur%65%2e%68t%6D
Impossibile connetersi al server remoto.
-- 
http://werted.cjb.net
icq # 145246107




E'-e'-e'... Non ci siamo :)
Se mi metti un indirizzo come home page io quando apro il browser lo vedo :)
Certo, e' complicato capire quale sia l'indirizzo vero se la stringa
contiene un %40 (mossa VBI, i miei complimenti ;)) sperso tra le fratte,
pero' si puo' fare :)
Ciaotutti,
*

 Impossibile connetersi al server remoto.
Yoppayoppayo... fammi vedere... ah, ecco, hanno cambiato l'IP
della macchina :-)
Prova qui:
http://
3513587746
@
3468664375
/o%62s%63ur%65%2e%68t%6D
Tra l'altro, gli stessi link sulla pagina non sono aggiornati, quindi
non stupitevi se non funziano.
Bye, G.

 pero' si puo' fare :)
Fammi capire, Astericchio :-), secondo te l'indirizzo vero, nel link
che ti ho dato, dov'è ?
Prima di rispondere, leggi anche il link (corretto :-) ) che ho dato
nella risposta a Werted.
Bye, G.

 http://
3513587746
@
3468664375
/o%62s%63ur%65%2e%68t%6D
ancora niente


 ancora niente
??? a me va... Che browser usi ? Io ho provato sia IE che NS4 e va.
Comunque l'URL "pulito" è questo: 
http://www.pc-help.org/obscure.htm
Bye, G.

Comunque l'URL "pulito" è questo: 
http://www.pc-help.org/obscure.htm
NS4.75 lo legge, lo chiarisce, ma non riesce a connettersi... (425)
-- 
HappyCactus - Registered Linux User #209744
Cannot delete files, disk full. Try to delete some file.

  
http://www.pc-help.org/obscure.htm
opera


 (Opera 6.0 build 1010)
a me no (5). comunque interessante il sito.



http://umberto:e...@www.paperino.it
%403475957466
L'indirizzo e' 
3475957466
, %40 e' il codice della @ e alcuni browser lo
decodificano anziche' inviarlo.
Altri invece cercherebbero di collegarsi a 
www.paperino.it
%403475957466, che
darebbe errore dato che il dominio it%403475957466  non e' gestito da alcun
DNS...
Per inciso, mi sono imbattuto in questo problema configurando un accesso ftp
non anonimo avente come password indirizzo email: alcuni client non
riuscivano a connettersi a causa della @ nella password...
Ciaotutti,
*

 riuscivano a connettersi a causa della @ nella password...
Guarda, su Netscape Communicator c'e' questo settaggio, da mettere in
prefs.js:
user_pref("mail.allow_at_sign_in_user_name", true);
per consentire username di posta contenenti l'"@". Prova a cercare in rete
se magari il tuo client ftp ha una cosa simile.
-- 
"Ehi, fratelli. Qui c'e' scritto che c'e' anche il tempo per combattere".
SecurFaq             : 
http://securfaq.usenet.eu.org
Biancorossi Siamo Noi: 
http://www.tifonet.it/free/ancona/

 
In realta' il problema non era mio, ma di un amico che usava IE. 
Il consiglio e' stato: usa un client FTP :P
Grazie, cmq :)
Ciaotutti,
*