Newsgroup: it.comp.sicurezza.varie
Titolo: dropper di BO in irc

Hi All!
Segnalo che in irc si offrono programmi apparentemente innocui, mentre invece
una volta eseguiti, oltre a svolgere le loro funzioni dichiarate, installano di
soppiatto il solito back orifice.
Ecco un paio di esempi di pubblicizzazione di questi programmi ingannevoli,
registrati su ircnet le notti fra l'8 e il 9 e fra il 9 e il 10 settembre:
<Dust^Junk> Anyone who wants to play STRIP POKER with.. JennyMcCarthy Version
2.2 Type: !JENNYMC  You won't be disappointed!
<Dust^Junk> Anyone who wants Xara3D2 Version  2.2 Type: !STUXARA Crack Available
on request
/whois Dust^Junk
Dust^Junk is ~
Stu...@wsw-ifa.demon.co.uk
 * turns your mind into an elephant
balloon machine
Dust^Junk on #sexpics #teensexpics 
Dust^Junk using 
irc.ais.net
 [207.154.187.187] American Information Systems-Ch
Dust^Junk End of /WHOIS list.
E vi posso assicurare che c'era un buon numero di Xsone che si scaricava quei 2
file.
Ah, quasi dimenticavo una delle cose + importanti: avp *non* e' in grado di
riconoscere questi file come il back orifice, Xche' il file del bo si trova
inglobato e crittografato nei programmi offerti, nascosto agli occhi di avp.
Viene invece individuato da avp il bo una volta che questo si e' gia' installato
nel sistema, qualora si andasse a scannare la dir di win e le relative subdir.
Bye
    Daniele (AntiVirus Researcher)
-- 
    EMail_address: 
foga...@usa.net
    IRC_nick: Daniel_F
    Member_of: GruPPOL / YAc / Anti_ti
    Brescia, Lombardy, Padania
    > Free Speech Online - Blue Ribbon Campaign <
 
www.cityline.it/personal/fogazzid/
    * May the knot be in u *

 nel sistema, qualora si andasse a scannare la dir di win e le relative subdir.
Infatti. AVP riconosce il BO come tale, cioe' l'eseguibile del server,
non i possibili envelope/dropper, che sono potenzialmente infiniti e
quindi impossibili da prevedere.
AVP non e' ancora in grado di eliminare il BO se questo e' in fase di
esecuzione, ma a questo penso di poter provvedere io. Sotto Windows
95/98 e' semplice effettuare un walking dei task anche se questi sono
nascosti (il BO funziona come un servizio di sistema, ed e' per questo
motivo che non viene elencato nella task window), quindi e' possibile
ottenere l'handle del processo del BO ed effettuare un kill del
programma. Durante il fine settimana lavorero' ad un programma capace di
eliminare il BO dalla memoria e dal Registry, nonche' di elencare le
chiavi presenti sotto RunServices in maniera user friendly.
ciao,
Paolo.
-- 
Future Time di Paolo Monti             tel/fax 39-06-5003161 
Distributore AVP e IDA per l'Italia    Internet: 
http://www.avp.it
e-mail: 
paolo...@avp.it
             Ordini: 
ord...@avp.it
AntiViral toolkit Pro, il potente antivirus con aggiornamenti
settimanali!



bella Paolo aspettiamo tutti di vedere i tuoi risultati!

 
Per mia esperienza il task non si vede sotto la lista dei processi di
win95.Io l'ho sperimentato con una versione configurata di bo,su porta
diversa e con nome diverso.
Il nome del task non è diverso dal nome del programma,nel caso di bo di
default basterebbe cercare il .exe fra i processi in corso.Basta
utilizzare il Bogui stesso per killare il processo...si inserisce IP e
porta e si può lavorare al volo.Nel caso non si riesca a trovare la
porta invece bisogna lavorare via regedit e rebootare.Comunque se si
hanno dei dubbi sul nome dell'eseguibile da rimuovere in system basta
andare a cercarlo..ha la stessa "non icona" del boseve (insomma ha un
icona trasparente ...)
			Giulio

 Trop brao. 8-)
Grazie :-) Il programma e' quasi pronto. Due clic del mouse ed e'
possibile eliminare completamente il BO: processo in memoria, file e
chiave nel Registry. Il nome del programma e' AVP System Watcher e va
ben oltre il compito di semplice eliminatore del BO, dal momento che
puo' essere usato per vedere e terminare qualsiasi processo in memoria,
servizio di sistema o non. Un po' come i comandi PROCLIST e PROCKILL del
BO.
ciao,
Paolo.
-- 
Future Time di Paolo Monti             tel/fax 
+39-06-5003161


servizio di sistema o non. Un po' come i comandi PROCLIST e PROCKILL del
...libera anche le handles dei files aperti?
Leonardo che per es. Windows non lo fa :-)
".signature": bad command or file name

Paolo.

RegisterServiceProcess, che ha il compito di registrare il processo come
Ah ecco! Allora _la prima volta_ il bo lo si vede nella lista dei task! Giusto?


 Ah ecco! Allora _la prima volta_ il bo lo si vede nella lista dei task! Giusto?
No :-) Non lo vedi nemmeno la prima volta. La funzione
RegisterServiceProcess ti permette di nascondere il task nella finestra
che compare quando premi i tasti CTRL-ALT-DEL. Io l'ho usata in AVP
DiskGuard, che infatti non compare nella task window anche quando lo
esegui da linea di comando o dall'Explorer. Il BOServe fa la stessa
cosa. 
ciao,
Paolo
-- 
Future Time di Paolo Monti             tel/fax 39-06-5003161


Ah ecco! Allora _la prima volta_ il bo lo si vede nella lista dei task! Giusto?
Ma la 'prima volta' l'eseguibile originale si installa, si copia da
un'altra parte e cancella l'originale in un tempo brevissimo, quindi
anche ammesso che sia visibile, dovresti essere Mandrake per beccare la
task list in quel momento. Tra l'altro, visto che il programma l'hai
lanciato tu, la cosa non rivelerebbe alcunche'. 
          /////
B/B/B/B ///     Guido Zualdi - Responsabile tecnico
/y/y/y ///          Netanday Lignano Sabbiadoro
e/e/e ///  ///            (Udine) Italy
      //////uido       

RegisterServiceProcess ti permette di nascondere il task nella finestra
Che chiamata e' RegisterServiceProcess? E' standard? La si puo' usare nei pe?
Nella mia lista di chiamate di sistema non risulta.


di lasciarsi vedere per non danneggiare troppo la causa
allora ho una macchina padana...
ctrl+alt+del e tra i processi c'era un  .exe
Buttha (alias Mandrake)
-----------------------------------------------------------------------
* ognuno diventa cio' che e'
* Per rispondere rimuovere niente
* PGP Key available with fingerprint:
  7772 5C72 7392 538B  34B8 A189 13BC 867A

 Nella mia lista di chiamate di sistema non risulta.
E' una funzione esportata da KERNEL32.DLL. Si puo' usare senza problemi
(viene usata anche dal mio AVP System Watcher). E' documentata nella
MSDN Library.
ciao,
Paolo.
-- 
Future Time di Paolo Monti             tel/fax 
+39-06-5003161


 ctrl+alt+del e tra i processi c'era un  .exe
Strano. Evidentemente il BO fallisce nel registrarsi come servizio di
sistema. Ma questa e' un'eccezione, non la norma.


sistema. Ma questa e' un'eccezione, non la norma.
che i bug Microzozz servano a qualcosa?
Buttha
-----------------------------------------------------------------------
* Il giudice disse: "Figliolo, cos'hai da dire a tua discolpa?"
  "Cinquantasette canali, e niente da vedere."
