Newsgroup: it.comp.sicurezza.varie
Titolo: explorer da 58k

Oggi tra i processi attivi ho trovato un explorer da 58k che apriva una
porta tcp 4000 e qualcosa.
Usando come criterio la data di Ultima Modifica ho trovato in system32 un
altro eseguibile da 58k nominato diretx.exe. i due file hanno le stesse
dipendenze:
kernel32,advapi32,comctl32
,gdi32,user32 e winspool.drv
In run e runservices non c'e' nulla di sospetto.
Pensavo si trattasse di un clone netcat, ma, apparte la dimensione, non so
verificarlo. Come posso essere sicuro che una volta cancellati quei due file
tutto sia  a posto?
grazie

 tutto sia a posto?
Una scansione con un antivirus aggiornato?
-- 
Flavio Visentin
Membro del CICAP
Comitato Italiano per il Controllo delle Affermazioni di P4

 Una scansione con un antivirus aggiornato?> -- 
  l'antivirus e' aggiornato, e non rileva assolutamente nulla. Del resto se
fosse netcat la cosa non mi sorprenderebbe piu' di tanto. Vale la pena fare
una scansione con hijackthis, o con altri sistemi? Il fatto che alla stessa
identica ora di creazione del succitato explorer mi ritrovi negli eventi
protezione questo log e' attinente o un caso?
Accesso alla rete riuscito:
Nome utente: SERVIZIO DI RETE
Dominio: NT AUTHORITY
ID accesso: (0x0,0x3E4)
Tipo accesso: 5
Processo di accesso: Advapi
Pacchetto di autenticazione: Negotiate
Nome workstation:
GUID di accesso: {00000000-0000-0000-0000-000000000000}

> Una scansione con un antivirus aggiornato?
e magari un bel "netstat -an" per verificare se
ci siano porte in ascolto o connessioni "strane" ?

 ci siano porte in ascolto o connessioni "strane" ?
Perdonami se ti e' arrivata una risposta in mail, Ma di solito non uso OE
(scusa patetica lo so)
BTW... Mi posso fidare di netstat? Mi sa che sia meglio recuperarlo da cd,
no?
Comunque tcpview di sysinternals non mi mostra nulla di smaccatamente
anomalo, gli unici processi che non so verificare sono alcuni servizi che
girano sotto svchost. Anzi, ne approfitto per chiarirmi un dubbio che ho da
un po. Una delle sessioni di svchost, differentemente da tutte le altre,
tiene aperta una determinata porta, ma quando vado a vedere quali servizi ci
stanno dietro me ne escono almeno una dozzina. . Come faccio a capire quale
servizio tiene aperta la porta di questa determinata sessione? oppure quella
sessione di svchost e' particolare? (la radice di tutte le sessioni svchost
aperte?)

  l'antivirus e' aggiornato, e non rileva assolutamente nulla. Del resto se
curiosita' :  che antivirus e' ?
puoi fare l' upload di questo programma zippato su qualche pagina web dove sia
possibile scaricarlo per farlo esaminare da qualche altro antivirus ?

 Mi sa che sia meglio recuperarlo da cd, no?
ahia.. se sospetti che la macchina sia "compromessa" non
ti puoi fidare nemmeno dell'OS; a questo punto direi che
l'unica potrebbe essere seguire passo per passo queste
istruzioni
http://www.microsoft.com/italy/technet/community/mvp/editoriali/spyware.mspx
allo scopo di "ripulire" il sistema o quantomeno di verificare
che sia effettivamente pulito; tieni presente che anche con
un AV aggiornato; se hai qualche "ospite indesiderato" sul
sistema è possibile che l'AV non riesca a "vederlo" e/o a
rimuoverlo ; tieni anche presente che le istruzioni che troverai
al link di cui sopra non sono messe "a casaccio" ma sono
state scritte (e rivedute più volte) proprio allo scopo di aiutare
nella rimozione anche delle "bestiacce" più resistenti
ciao


Non credo, non avevo notato l'antispam :-)
Comunque grazie per il link, ciao