Newsgroup: it.comp.lang.visual-basic
Titolo: [OT] scrsvr.exe trojan (Lungo)

scusate l'ot ma ho più possibiltà di risolvere il problema con il vostro
aiuto che postando in altri NG...
5 giorni fa mentre ero collegato ad internet inizio a vedere tramite il led
del modem uno smisurato traffico di dati in uscita, attivo il firewall e
noto che il mio computer stava effettuando una scansione sulla porta 138 su
tutti i range di ip locali e solo su quelli. Do' un'occhiata nella task list
ma niente di strano, si tratta di un trojan deduco. Vado a spulciare tutte
le chiavi per l'avvio automatico e lo trovo nel win.ini alla chiave "run",
scrsvr.exe, lo cancello e riavvio. riparte il sistema, F8 e da prompt dei
comandi lo elimino, riavvio e faccio una scansione, riavvio... tutto ok.
Il giorno dopo vado a avviare e mi spunta una finestra del tutto simile a
quella di accesso remoto, è identica, connessione..., nome utente...,
password, salva password, connetti, impostazioni... ma ha la casella, in cui
logga le operazioni, bianca anziche grigia... premo ALT+F4 per chiudere e
ricontrollo il win.ini... è ricomparsa la modifica alla chiave ini e il file
scrsvr.exe nella cartella windows ricompio tutte le operazioni di pulizia...
e ieri sera è ricomparsa. Evidentemente l'attivazione del trojan avviene da
parte di qualche eseguibile infettato ma non viene rilevato dall'antivirus.
Qualcuno si è già imbattuto in questo scherzetto e sa come uscirne?
Reinstallare il sistema operativo significherebbe dover reinstallare un
centinaio di applicativi e cmq non mi garantisci di venirne fuori. Il virus
è innocuo ma fastidioso, e cmq saper che c'è un virus nel computer non mi fa
dormire sonni tranquilli...
Gli antivirus non lo rilevano (gli aggiornamenti sono gli ultimi
disponibili..)
Ultimi programmi installati:
    - Spam Terminator   25/09/02
    - Inno Setup             10/09/02
    - IrfanView               21/07/02
il fatto strano è che io, a parte i programmi come sopra, non apro mai
eseguibili o allegati o altro non certificati
Scusate l'ot e la lunghezza del messaggio, ma son quasi disperato....:)
--
____________________________
   G 1 0 X®
Web: 
www.giox.net
Alt. Mail: 
info...@libero.it
Icq Uin: 47698601
Irc Chan. @azzurranet:
   #mhackerone; #ahccc; #linux;
   #hackers-it; #programmatori
_____________________________

 aiuto che postando in altri NG...
E' qui che ti sbagli :-)
Nei gruppi it.comp.sicurezza.* se ne sta parlando da qualche giorno.
Comunque è "Open Share Worm", copio e incollo da un post
su ICSV di Axel Pettinger
http://service2.symantec.com/SUPPORT/tsgeninfo.nsf/pfdocs/2000091415173339
[SCRSVR.EXE]
    Kaspersky Lab KAVDOS32     : Backdoor.Opasoft
    McAfee SCANPM              : BackDoor-ALB / W32/Scrup.worm
    Panda Antivirus PAVCL      : Bck/Opasoft
    SOFTWIN BDDOSC             : Trojan.Omageneer.A
    Sophos SWEEP               : W32/Opaserv-A
    Symantec NAV CE VSCAND     : W32.Opaserv.Worm
    Trend Micro VSCAN32        : BKDR_OPASOFT.A / WORM_OPASOFT.A
http://www.sarc.com/avcenter/venc/data/w32.opaserv.worm.html
http://www.sophos.com/virusinfo/analyses/w32opaserva.html
http://vil.nai.com/vil/content/v_99729.htm
http://www.trendmicro.com/vinfo/virusencyclo/default5.asp?VName=WORM_OPASOFT.A
https://grc.com/x/news.exe?cmd=article&group=grc.security&item=59379&utag=
http://punto-informatico.it/pol.asp?mid=264063&fid=1
http://www.sarc.com/avcenter/venc/data/w32.opaserv.worm.html
Bye, G.

 Comunque è "Open Share Worm", copio e incollo da un post........
[cut]
Ecciai ragione!! Maledizione a me sono riuscito a trovare il tool per la
rimozione solo 9 secondi dopo aver postato il mess... dalla symantec... e
sembra tutto ok per ora speriamo bene.
4 giorni avevo disperatamente cercato info ma google non dava risultati
validi forse era troppo presto e doveva ancora esplodere...
Grazie Paperino!