Newsgroup: it.comp.sicurezza.varie
Titolo: Aiuto... dialer?!?

Ciao a tutti,
ho un problema con una specie di dialer; quando apro explorer (non sempre)
cliccando su qualsiasi preferito mi da una pagina con scritto ENTER (un link
che contiene la parola "verotel") che mi da dei siti porno. Mi ridirige
sempre a un sito drunkyoung.com...
Non riesco a trovare la causa: ad-aware e spybot aggiornati non trovano
nulla,
nell'msconfig non vedo nulla di strano... che devo fare?
Grazie.
PS: il dialer non puo' connettersi, ammesso che si tratti di un dialer,
perche' il modem e' staccato (ma ho una conenssione Alice Ethernet), ma i
siti ovviamente compaiono!

 sempre a un sito drunkyoung.com...
Hai controllato se in effetti il link presente in preferiti punta
al sito desiderato ? Mi viene il dubbio che qualcosa (worm
o altro) abbia modificato _tutti_ i links in preferiti .. prova ad
usare l'opzione "organizza preferiti" ed a controllare che i
links puntino correttamente al sito di destinazione; inoltre
assicurati che le impostazioni di connessione (es. proxy)
siano corrette
Ciao

 che contiene la parola "verotel") che mi da dei siti porno.
Questo verotel è inquietante: da ricerca via google ecco cosa viene fuori:
http://www.autoscatto.com/banneritaliani1.html
è un servizio per scambio banner e altra pubblicità che però a quanto pare è
usato per questi fottuti giochetti da kiddies, come quello che sta
avvelenando la rete oggi
--------------------------------
Inviato via 
http://arianna.libero.it/usenet/

 avvelenando la rete oggi
Cosa devo fare secondo te?
Grazie.

 siti ovviamente compaiono!
Provare  a cambiare i dns di default di Alice?
-- 
Marie Dany Keisler

nulla,
Provare a installare Hijackthis 1.97 che fa una esamina del registro e
li puoi vedere se c'è una voce che richiama il dialer lo cancelli
manualmente.
-----------------------------------------------------------------------
Che il gatto sia nero o bianco poco importa, basta che si mangi il topo
-----------------------------------------------------------------------
KB37@

 porno. Mi ridirige sempre a un sito drunkyoung.com...
...
Scarica questo programma e prova a postare il log:
http://www.spychecker.com/program/hijackthis.html

> Scarica questo programma e prova a postare il log:
Mi sono fatto inviare il Log dal pc in questione e ve lo invio. Mi dicono
pero' che all'avvio AVG riconosce un virus nella cartella "System Volume
Information", come Nachi.h, ma se lancio AVG non lo trova. Come accedo a
quella cartella, a cui per altro l'accesso e' negato?
Ecco il log, per il dialer:
Logfile of HijackThis v1.97.7
Scan saved at 11.14.56, on 25/03/2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)
Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\PROGRA~1\Grisoft\AVG6\avgserv.exe
C:\Programmi\File comuni\EPSON\EBAPI\SAgent2.exe
C:\Programmi\File comuni\Microsoft Shared\VS7Debug\mdm.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
C:\WINDOWS\Explorer.EXE
C:\PROGRA~1\ZONELA~1\ZONEAL~1\zlclient.exe
C:\PROGRA~1\Grisoft\AVG6\avgcc32.exe
C:\WINDOWS\sm56hlpr.exe
C:\Programmi\QuickTime\qttask.exe
C:\Programmi\Java\j2re1.4.2_01\bin\jusched.exe
C:\Programmi\Messenger\msmsgs.exe
C:\WINDOWS\System32\RUNDLL32.EXE
C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_A10IC2.EXE
D:\MUSIC\MUSIC.EXE
C:\PROGRA~1\MICROS~2\Office10\OUTLOOK.EXE
C:\Programmi\Opera7\Opera.exe
C:\WINDOWS\System32\cmd.exe
C:\WINDOWS\system32\ntvdm.exe
C:\Documents and Settings\Pink Moon\Impostazioni locali\Temp\Directory
temporanea 1 per hijackthis.zip\HijackThis.exe
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page =
http://www.google.it/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =
Collegamenti
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} -
C:\Programmi\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {AA58ED58-01DD-4d91-8333-CF10577473F7} -
c:\programmi\google\googletoolbar1.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} -
C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} -
c:\programmi\google\googletoolbar1.dll
O4 - HKLM\..\Run: [Zone Labs Client]
C:\PROGRA~1\ZONELA~1\ZONEAL~1\zlclient.exe
O4 - HKLM\..\Run: [AVG_CC] C:\PROGRA~1\Grisoft\AVG6\avgcc32.exe /STARTUP
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE
C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [SMSERIAL] sm56hlpr.exe
O4 - HKLM\..\Run: [QuickTime Task]
"C:\Programmi\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [SunJavaUpdateSched]
C:\Programmi\Java\j2re1.4.2_01\bin\jusched.exe
O4 - HKLM\..\RunServices: [Monitor] explore.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Programmi\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [NvMediaCenter] RUNDLL32.EXE
C:\WINDOWS\System32\NVMCTRAY.DLL,NvTaskbarInit
O4 - HKCU\..\Run: [EPSON Stylus C20 Series]
C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_A10IC2.EXE /P23 "EPSON Stylus
C20 Series" /O6 "USB001" /M "Stylus C20"
O4 - Global Startup: EPSON Status Monitor 3 Environment Check 2.lnk =
C:\WINDOWS\system32\spool\drivers\w32x86\3\E_SRCV02.EXE
O4 - Global Startup: Microsoft Office.lnk = C:\Programmi\Microsoft
Office\Office10\OSA.EXE
O8 - Extra context menu item: &Google Search -
res://C:\Programmi\Google\GoogleToolbar1.dll/cmsearch.html
O8 - Extra context menu item: Backward &Links -
res://C:\Programmi\Google\GoogleToolbar1.dll/cmbacklinks.html
O8 - Extra context menu item: Cac&hed Snapshot of Page -
res://C:\Programmi\Google\GoogleToolbar1.dll/cmcache.html
O8 - Extra context menu item: Download with GetRight -
C:\Programmi\GetRight\GRdownload.htm
O8 - Extra context menu item: E&sporta in Microsoft Excel -
res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O8 - Extra context menu item: Open with GetRight Browser -
C:\Programmi\GetRight\GRbrowse.htm
O8 - Extra context menu item: Si&milar Pages -
res://C:\Programmi\Google\GoogleToolbar1.dll/cmsimilar.html
O9 - Extra 'Tools' menuitem: Sun Java Console (HKLM)
O16 - DPF: {02BF25D5-8C17-4B23-BC80-D3488ABDDC6B} (QuickTime Object) -
http://www.apple.com/qtactivex/qtplugin.cab
O17 -
HKLM\System\CCS\Services\Tcpip\..\{DA4CF63C-AC33-405A-8EA0-7083A60C2046}:
NameServer = 81.74.225.227 151.99.125.1

 46}: NameServer = 81.74.225.227 151.99.125.1
Dovrebbero essere i nameservers di interbusiness, quindi ok. credo.
Se quell'explore.exe e' quel che penso, devi eliminarlo dall'esecuzione
automatica e dal file. Penso riavviando in una qualche sorta di
"modalita' safe". Non so, non ho windows. 
Poi devi cercare di capire come e' entrato nel tuo sistema, in
particolare controllando i settaggi del tuo Internet
Exploiter^WExplorer.

 > O4 - HKLM\..\RunServices: [Monitor] explore.exe
Credo che tu abbia ragione. Tanto che sul mio pc non esiste.
Ora appunto il problema e' eliminarlo, perche' mi viene il dubbio che sia il
file nel "System Volume Information" che AVG riconosce come Nachi.h.
Grazie, vedo anche cosa trovo su 'sto Nachi.

file nel "System Volume Information" che AVG riconosce come Nachi.h.
Se è in questa cartella devi disattivare il ripristino di sistema, fai
svuotare la cartella, scansione in modalità provvisoria e poi puoi
riattivare il ripristino.
-----------------------------------------------------------------------
Che il gatto sia nero o bianco poco importa, basta che si mangi il topo
-----------------------------------------------------------------------
*KB37*

 succedendo. <g>
anche io. Anzi, se ti viene in mente qualche cosa...
HappyCactus e le supposte non verificate...

 Gol.
Meraviglia :-D
Non bastavano le utenze IB e IB a fare danni al mondo...
Adesso anche IB inizia a fare danni anche alle proprie utenze...
davvero ROTFLASTC...
-- 
wash the blood from your hands
bury your secrets in the sand
and forget

 Ho fatto lo stesso controllo:
Pure io .. vediamo un pò cosa dice lo "scavatore" ...
<====================dig #1===================>
dig @
81.74.225.227
 
www.microsoft.com
 IN A
; <<>> DiG 9.2.X-(Gibraltar)-6.01 <<>> @
81.74.225.227
 
www.microsoft.com
 IN A
;; global options:  printcmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 41
;; flags: qr rd ra; QUERY: 1, ANSWER: 10, AUTHORITY: 0, ADDITIONAL: 0
;; QUESTION SECTION:
;
www.microsoft.com
.             IN      A
;; ANSWER SECTION:
www.microsoft.com
.      2434    IN      CNAME   
www.microsoft.akadns.net
.
www.microsoft.akadns.net
. 49    IN      CNAME   
www2.microsoft.akadns.net
.
www2.microsoft.akadns.net
. 49   IN      A       207.46.144.222
www2.microsoft.akadns.net
. 49   IN      A       207.46.156.220
www2.microsoft.akadns.net
. 49   IN      A       207.46.250.252
www2.microsoft.akadns.net
. 49   IN      A       207.46.245.92
www2.microsoft.akadns.net
. 49   IN      A       207.46.244.188
www2.microsoft.akadns.net
. 49   IN      A       207.46.250.222
www2.microsoft.akadns.net
. 49   IN      A       207.46.144.188
www2.microsoft.akadns.net
. 49   IN      A       207.46.245.156
;; Query time: 140 msec
;; SERVER: 81.74.225.227#53(81.74.225.227)
;; WHEN: Thu Mar 25 15:05:09 2004
;; MSG SIZE  rcvd: 220
</====================dig #1===================>
ora ... quanto sopra corrisponde, ma se provo ad usare
un domino "a caso" pestando qualche lettera ...
<====================dig #2===================>
dig @
81.74.225.227
 
www.agwerowercef.com
 IN A
; <<>> DiG 9.2.X-(Gibraltar)-6.01 <<>> @
81.74.225.227
 
www.agwerowercef.com
IN A
;; global options:  printcmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 41
;; flags: qr aa; QUERY: 1, ANSWER: 1, AUTHORITY: 2, ADDITIONAL: 0
;; QUESTION SECTION:
;
www.agwerowercef.com
.          IN      A
;; ANSWER SECTION:
www.agwerowercef.com
.   3600    IN      A       69.93.21.42
;; AUTHORITY SECTION:
com.                    3600    IN      NS      
NS1.TRAFWARE.com
.
com.                    3600    IN      NS      
NS2.TRAFWARE.com
.
;; Query time: 281 msec
;; SERVER: 81.74.225.227#53(81.74.225.227)
;; WHEN: Thu Mar 25 15:06:01 2004
;; MSG SIZE  rcvd: 99
</====================dig #2===================>
ora ... questo mi fa pensare al wildcarding di VERISIGN, vediamo
che succede con un'altro TLD al posto di ".com" ...
<====================dig #3===================>
dig @
81.74.225.227
 
www.agwerowercef.it
 IN A
; <<>> DiG 9.2.X-(Gibraltar)-6.01 <<>> @
81.74.225.227
 
www.agwerowercef.it
 IN
A
;; global options:  printcmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NXDOMAIN, id: 41
;; flags: qr aa; QUERY: 1, ANSWER: 0, AUTHORITY: 1, ADDITIONAL: 0
;; QUESTION SECTION:
;
www.agwerowercef.it
.           IN      A
;; AUTHORITY SECTION:
it.                     86400   IN      SOA     
dns.nic.it
.
hostmaster.nic.it
. 2
004032500 43200 7200 604800 86400
;; Query time: 78 msec
;; SERVER: 81.74.225.227#53(81.74.225.227)
;; WHEN: Thu Mar 25 15:10:38 2004
;; MSG SIZE  rcvd: 92
</====================dig #3===================>
e infatti ... il che significa che la config del DNS non è stata
"patchata" per evitare il problema del wildcarding sui TLD
com/net/org operato da VERISIGN ..
essoncontentoeddimoltoassai :-) !!
dai retta .. installati un DNS locale ;-)
Ciao
-- 
* ObiWan
DNS "fail-safe" for Windows 2000 and 9X clients.
http://ntcanuck.com
Support and discussions forum
http://ntcanuck.com/net/board
408 XP/2000 tweaks and tips
http://ntcanuck.com/tq/Tip_Quarry.htm

 HappyCactus e le supposte non verificate...
Dimenticavo
Supposta         = già fatto
Supposizione = da fare
nel caso (caos) di cui sopra penso
si tratti proprio di una supposta :-D
Ri-Ciao

 server e vedere cosa sta succedendo. <g>
beh ... BIND v9.2.x (da 3 in avanti se ricordo bene)
è stato patchato per risolvere il problema, gli altri...
sono fregati, trattasi del casino derivante dall'uso
di wildcards da parte di VERISIGN per alcuni dei
TLD (es. ".com") l'unica soluzione, avendo una
versione "patchata" di BIND è quella di aggiungere
alla config quanto segue
// Wildcarding fix for verisign __screwed__ DNS
// see 
http://www.imperialviolet.org/dnsfix.html
zone "com" in { type delegation-only; };
zone "net" in { type delegation-only; };
// other wildcarded zones (missing .tv and .io)
zone "cc" in { type delegation-only; };
zone "cx" in { type delegation-only; };
zone "mp" in { type delegation-only; };
zone "nu" in { type delegation-only; };
zone "ph" in { type delegation-only; };
zone "td" in { type delegation-only; };
zone "tk" in { type delegation-only; };
zone "ws" in { type delegation-only; };


 Prendete 81.74.225.227
Potete spiegarmi per favore cosa vogliono dire tutti questi passaggi?
Grazie.

 Potete spiegarmi per favore cosa vogliono dire tutti questi passaggi?
Beh ... in parole semplici (spero) .. il DNS che è quel "coso" che
(tra l'altro) si occupa di convertire nomi in indirizzi IP, è organizzato
"ad albero" il che significa più o meno una cosa del genere
. (root)
|
+----com------microsoft
|
+----net-----sourceforge
ecc ecc.. ora, ciascun "ramo" dell'albero è gestito da due o più DNS;
nel caso del "Top Level Domain" (TLD) "com" il gestore è VERISIGN
ora ... i tizi di verisign hanno deciso di inserire nei loro DNS una voce
"wildcard" ossia "*" (asterisco) questo significa che se si esegue una
richiesta DNS per un dominio "com" inesistente (es. 
www.qwerasd.com
)
il DNS di verisign andrà ad utilizzare tale record wildcard e riporterà
sempre
lo stesso IP "mappato" da tale record (nel caso 69.93.21.42) il che crea una
miriade di problemi risolvibili soltanto aggiornando il software e la
configuraz.
dei servers DNS (nel caso quelli di telecom) e/o installando ed utilizzando
un
proprio server che abbia le dovute patch e la dovuta configurazione
Spero di essere stato chiaro ...
Ciao

 lo stesso IP "mappato" da tale record (nel caso 69.93.21.42) il che
No, Obi. Quello si tratta di un dns proxy, linkato ad un altro dns
per fini di hijaking. Probabilmente il padrone di quel DNS si e' accorto
di averlo configurato in modo troppo aggressivo, e ora risolve solo i
domini non esistenti con quel 69.eccetera.... il quale rimanda alla
pagina porno. o forse e' stato qualcuno che si e' accorto che si puo'
accedere alla pagina di amministrazione del DNS senza alcuna
autenticazione.....

 riattivare il ripristino.
In modalita' provvisoria non mi avvia AVG, ma forse eliminando quella riga
con hijack this il problema potrei risolverlo. Ho disattivato il ripristino,
spero che AVG trovi qualcosa in modalita' normale.
Grazie.

 autenticazione.....
Uhm .. hai verificato ?!? In effetti l'ip ritornato (69..) non mi quadrava
per niente con il discorso verisign (che di norma reindirizza ad un
IP diverso) ma non ho approfondito (ok, ho fatto male, sono pigro)
Azz .. brutta cosa :-/ adesso in teoria sarebbe il caso di contattare
chi gestisce quel DNS per sistemare la cosa ... sempre che ci sia
qualcuno disposto ad ascoltare ed in grado di capire :-]
Vabbè ... ogni giorno si scopre un nuovo buco .. mah :-)
* Obi che... qua ci vorrebbe sul serio la supposta

 Vabbè ... ogni giorno si scopre un nuovo buco .. mah :-)
Buco... piu' che buco era un malware (tra l'altro quella cdn non era
neppure firewallata). mi sarebbe piaciuto averne uno per le mani...

 neppure firewallata). mi sarebbe piaciuto averne uno per le mani...
Uh che bello ... sul tipo di 
http://tinyurl.com/3xhmk
 piů o meno ...