Newsgroup: it.comp.sicurezza.varie
Titolo: E' un dialer? O che altro puo' essere?

[X/post]
... e sovrattutto, come risolvo il problema? Inizio dal principio.
Computer con processore Intel MMX, quindi un po' vecchiotto. SO: Windows Me.
Ho due voci di "Connessione remota" che connettono a due numeri, un urbano
ed un 702, del mio provider.
Qualche giorno fa, mi son lasciato tentare a visitare il sito di uno con cui
chattavo. Mi sono connesso SOLO per visitare quel sito e poi ho chiuso
Explorer sconnettendomi. Avevo notato la lentezza del computer durante la
visita al sito, ma non mi sono insospettito perche' il mio apparecchio e'
sempre molto lento, colpa dell'eta' (comunque lo cambiero' presto).
Come rivedo il desktop, ci sono due nuove icone. Li tratto coi guanti, e
vedo che sono collegamenti a due applicazioni (.exe), una con un nome
alfanumerico tipo sigla e l'altro di nome "internet".
Cancello il tutto e scandisco il sistema con l'antivirus (Norton, aggiornato
la sera prima). Mi rileva altri due files e li elimina. Credo che tutto sia
finito. Questo accadeva jeri sera. Poi prima di andare a nanna, erano ore
piccolissime, provo a dare un'ultima occhiatina alla posta.
[Piccola nota. Io tengo sempre molto sorvegliata la posta: prima di
scaricarla la previsualizzo con uno di quei programmini che interrogano
direttamente il server e mostrano nome, mittente e peso dei messaggi in
arrivo, e non esito ad eliminare i sospetti. Aggiungo che il mio provider ha
un antivirus installato sulle sue macchine a sua volta, e lo mantiene
dignitosamente aggiornato. Per questo, qualunque bestia mi sia arrivata, mi
sento di escludere che abbia viaggiato per email].
Clicko sulla connessione col 702, e prima di attivarla noto (appena in
tempo!) che qualcosa non va! Il mio username e' stato modificato: al posto
delle sue ultime tre lettere c'e' una stringa numerica a piu' segmenti,
vagamente somigliante ad un indirizzo di quelli di tipo tutto in cifre. E
sovrattutto il numero telefonico e' cambiato! E' un numero straniero che
comincia con 0043 (qualcuno sa a che Paese corrisponde?).
Ovviamente non procedo alla connessione. Do' un'occhiata al numero urbano:
e' successa la stessa, identica cosa. Correggo i dati nel riquadro delle
Proprieta' di ciascuna connessione, pensando che fosse l'ultimo rantolo di
una bestia eliminata, e mi connetto regolarmente (la curiosita' e' che la
password non aveva subito cambiamenti, indi non ebbi bisogno di
ridigitarla). Caso chiuso, vo a letto.
L'indomani (che sarebbe oggi) scopro che il caso non e' affatto chiuso! I
dati tarocchi sono di nuovo li' al posto di quelli giusti. Provo un po' di
cose, riprogrammo le connessioni dall'inizio dopo aver cancellato le
precedenti e cosi' via. I dati dopo un po' si trasformano novamente. Li
riaggiusto manualmente, mi collego normalmente, e dopo un po' sono da capo
[ovviamente non ho mai provato a verificare cosa sarebbe accaduto
connettendomi a quel numero con quell'Userid].
E veniamo a oggi pomeriggio. Prima provo a scandire il sistema con Ad-Aware,
mi trova una dozzina di file, tutti cookie. Per la cronaca, quando avevo
ancora Win95 avevo installato un anonimizzatore (Luckman) per cookie, non so
se funzia anche con Millennium ma lo tengo ancora installato e funzionante.
Elimino i cookie, e non mi illudo di aver risolto il problema, anche perche'
e' un po' che non aggiorno Ad-Aware. Ma decido di fare due o tre prove.
Scopro cosi' che la magagna avviene ad intervalli brevi ma non prevedibili,
indipendentemente dal fatto che io mi colleghi o meno nel frattempo (avevo
sospettato che la bestia agisse quando sentiva iniziare una connessione).
Mi collego, dopo l'ennesima correzione manuale dei dati, e tramite
www.askjeeves.com
 trovo e scarico un  programma piu' aggiornato
(BulletProofSoft.com Spyware Remover, in versione trial a durata limitata ma
con funzioni complete). MI rileva quasi trecento file sospetti. Sono
praticamente tutti cookie, nessun eseguibile. Li elimino, e l'operazione non
da' problemi tranne uno strano messaggio su un file la cui eliminazione non
sarebbe riuscita: ma nel riepilogo non risulta nulla di strano o irregolare.
Torno alle mie connessioni e le sistemo. Aspetto un po', mi colleghicchio,
tutto sembra di nuovo normale. E' il momento di accendere un cero? Purtroppo
no, la bestia e' ancora li', si era semplicemente fatta aspettare qualche
minuto in piu'.
[Nota bene: mi tengo aggiornato sui nuovi virus tramite la newsletter della
McAfee, ma non ricordo di aver mai visto un comunicato a proposito di un
virus che fa certe cose].
Qualcuno di voi ha qualche idea di cosa puo' essere successo? Qualunque roba
io abbia tirato giu' da quel certo sito, dove potrebbe essere il caso di
cercarla? Come si puo' rimediare a qualunque cosa sia andata storta? L'uso
di programmi diagnostici come il Dr Watson che e' in Millennium di serie
puo' essere d'ajuto o e' solo una perdita di tempo?
In una parola, amici...   A J U T O ! ! ! !
Grazie in anticipo.
Andrea
salo...@mediacomm.it

hai provato a vedere nel registry alla
HKLM-->software-->microsoft--->windows---> currentversion---->run
puo' darsi che ci sia qualche chiave in esecuzione automatica  di un
qualche dialer  


 di un qualche dialer
Ahio! :-( Al solo pensare di aver a che fare col registry mi si azzera la
salivazione e mi vengono le mani a spugna, come capita a Fantozzi quando
viene convocato dal Megapresidente... Comunque sia, per provare vorrei
sapere esattamente in che modo agire. Puoi fornirmi qualche riferimento,
tipo manuali o consigli rintracciabili online? Oppure se fossi cosi' gentile
da scrivermi le cose da fare e **sovrattutto** quelle da evitare...
Andrea
salo...@mediacomm.it

salivazione e mi vengono le mani a spugna, come capita a Fantozzi quando
Guardare e non toccare, male non dovrebbe fare.
Apri il registro digitano regedit al menu esegui
e poi segui l'albero fino a trovare il menu Run indicatoti.
In laternativa cerca RegCleaner in rete.
Ti mostra l'elenco dei programmi che partono nel registro e ti pemrette di
cancellarli con un backup per ripristinarli in caso di errore. E' leggero e
free.
saluti,
Peltio

 ...
Segui per prima cosa gli "11 passi" descritti alla pagina 
http://www.romanelmondo.com/sugg/spy.htm
Poi leggi 
http://www.romanelmondo.com/sugg/telecomrideiono.htm
-- 
Andrea
~ : ~ : ~ : ~ : ~ : ~ : ~ : ~ : ~
  Yahoo ID andrea260272
~ : ~ : ~ : ~ : ~ : ~ : ~ : ~ : ~ 

Ciao anche io ho lo stesso problema suo ho scoperto che il dialer crea una
cartella in system chiamata shellnew o qualcosa del genere con dentro un
file exe con il nome della connessione, cancellato si riforma, qualcuno sà
come debbellarlo del tutto??????? ho fatto tutto quello che dite in
precedenza ma nulla il file madre nascosto continua a imperversare :((((((
Grazie
Bandit


 Bandit
Peltio ti ha detto di usare RegCleaner. Ottimo. Se vuoi non entrare nel 
registry e causare qualche danno (molto facile se non si sa dove andare) 
puoi istallare anche RegSeeker, un programma free. C'è una voce "cerca nel 
registro"usando anche parole intere. Ci scrivi il nome del file.exe e lo 
elimini. Guarda che in basso a destra c'è scritto ricovera (la spunta la 
puoi mettere o togliere). Ciò vuol dire che quando elimini il file si forma 
automaticamente un backup. Se sbagli  ad eliminare il file, lo puoi sempre 
ripristinare. Ciao.
A.R. 

Vorrei ringraziare di cuore tutti quelli che mi hanno risposto e dato utili
suggerimenti. Ora, a quanto pare ed incrociando le dita, dopo aver provato
un certo numero di quei programmi ed aver fatto un bel po' di reboot, la
bestiola (insieme ad alcune sue compagnucce) pare debellata. Proprio quando
stavo gia' pensando ad una formattazione che, pero', mi avrebbe
indubbiamente scocciato. Per la cronaca, non sono ben sicuro su quale di
quei programmi abbia fatto il trucco, ma credo sia stata l'ultima versione
di Ad-Aware di LavaSoft. Sono restato un po' deluso da Spy Bot Search &
Destroy, di cui mi era pure stato parlato bene anche dal mio
provider;Xoftspy e' l'emblema dello stress, perche' indica le bestie
presenti ma non permetta di eliminarle se non si sgancia, e capirete che per
un ferro relativamente vecchio come il mio non fa piacere spendere per un
programma che su di esso verra' usato solo una volta o due. StopDialer mi ha
lasciato freddino, agisce in modo molto superficiale.
Oh, e dimenticavo: fortunatamente, non e' stato necessario fare mastruzzi
di sorta col registry, il che mi rende alquanto tranquillo.
Di nuovo graçias a tutti e capirete che se saluto dicendo "a presto" non
significa che mi auguro di aver presto nuovi problemi come quello..! ;-)
Andrea
salo...@mediacomm.it

di sorta col registry, il che mi rende alquanto tranquillo.
Questo consola anche il sottoscritto, perche' sono
convinto che con Win non e' mai scontato quel che puo'
succedere !!!
Meglio non destare il can che dorme !!!
E bravo per non aver scelto la "resa incondizionata",
cioe' riformattare.
		Ciao Giorgio