Newsgroup: it.comp.lang.visual-basic
Titolo: [OT] Scoprire quale processo crea un certo file

Salve a tutti. Questo mio quesito è completamente OT, e me ne scuso subito,
ma vi spiegherò per quale motivo ho deciso di postarlo proprio qui su iclvb.
Da un paio di settimane mi sto scontrando con il fastidioso Setup.exe,
talvolta in coppia con Autorun.inf ma non sempre, che si ricrea
periodicamente. Un mio cliente ha il pc infestato, ma siccome ha sei dischi
con una trentina di applicazioni di editing non è pensabile formattare e
reinstallare tutto.
Ho letto parecchie discussioni sul web riguardo a ciò, ma nessuna sembra
aver risolto definitivamente, o almeno tutte si interrompono dopo un po',
segno magari che l'OP ha risolto, ma per quanto ne so potrebbe aver
formattato tutto.
Orbene chi conosce il problema sa che il pernicioso baco non è considerato
un virus vero e proprio (non so perché), e perciò soltanto pochi antivirus
lo intercettano, e solo kaspersky lo rimuove. Ho anche trovato una procedura
passo passo che spiega come rimuovere il worm. In sostanza viene creato un
file eseguibile con lo stesso nome ed estensione di un eseguibile di sistema
di XP, smss.exe, ma nella cartella System invece che in System32. Qs. file
all'avvio crea la coppia Setup.exe e Autorun.inf nella root di ogni disco
condiviso. Per far si che qs. autorun venga eseguito il worm modifica una
chiave di registro, che da allora considera i dischi fissi come rimovibili
ed esegue l'autorun all'avvio lanciando il setup.exe, il quale crea delle
copie di sé stesso dove non ci sono già. Infatti anche cancellando
manualmente qs. due file, ad ogni avvio vengono ricreati.
Seguendo la procedura io ho individuato la chiave e ripristinato il valore
corretto, e ho eliminato il file di sistema fittizio, e infine ho cancellato
tutti gli autorun e setup (la procedura è descritta qui:
http://www.suspectfile.com/blog/?postid=14
).
Il tutto è durato sei giorni, poi misticamente il setup.exe è ricomparso,
stavolta da solo. Solo che la chiave era a posto, e nella cartella System
non c'era nulla di nuovo.
Allora ho scansito online il setup.exe su 
virustotal.com
(
http://www.virustotal.com/en/indexf.html
), e ho scoperto qualche antivirus
che lo individuava. Li ho scaricati tutti, ma soltanto kaspersky offriva
l'opzione di rimuoverlo, per cui gli ho fatto fare la rimozione. Ho
riavviato più volte e verificato che tutto andava bene, nessun file
Setup.exe veniva ricreato, perciò ho lasciato kaspersky installato al
cliente, gli ho lanciato l'ennesima scansione completa del disco e sono
andato via. Più tardi lui mi ha chiamato per dirmi che la scansione non
aveva trovato altri virus. Questo succedeva venerdi sera.
Oggi mi ha chiamato dicendomi che l'ha ribeccato. Lui stesso l'ha sottoposto
a kaspersky che stavolta non lo ha individuato. Evidentemente questo worm è
capace di mutare forma, ma l'eseguibile che crea il Setup.exe non viene
individuato da kaspersky. Per questo ho pensato a voi di iclvb.
In passato, nelle varie discussioni ho visto menzionare più volte dei
programmi di monitoring, tipo Filemon. L'idea che avrei sarebbe di
sottoporre il pc ad un monitoring con un programma simile, per individuare
come si chiama il processo che lo ricrea di volta in volta.
Perciò, la mia domanda è semplice: esiste, che voi sappiate, una qualche
utility che possa individuare CHI ricrea il Setup.exe? Magari un programma
di monitoring che scopra che un certo file, Setup.exe nel nostro caso, viene
creato da EseguibileCattivo.exe? O comunque: esiste un sistema per sapere
CHI ricrea Setup.exe di volta in volta?
Ho letto la documentazione di Filemon (che nel frattempo è diventato
Microsoft), e degli altri programmi di monitoring simili. Microsoft dice che
Filemon è stato sostituito da Process Monitor, per XP, ma da quel cho ho
capito Process Monitor non mi dice CHI ha creato un determinato file, e mi
pare che nemmeno Filemon restituisse una informazione del genere.
Quando ho letto (qui) di Filemon per la prima volta, chi ne parlava - mi
pare che fosse hal - disse che a Sysinternals.com c'era gente che conosceva
Windows davvero bene.
Perciò è per questo che sto postando qui: perché sebbene qui si parli di VB
a me serve parlare con qualcuno che conosca bene anche Windows, e so per
certo che chi tra voi utilizza queste utility di monitoraggio per i suoi
programmi VB ha anche una profonda conoscenza di Windows, e credo che posso
sperare di ottenere qui un aiuto migliore di quello che otterrei su
it.comp.aiuto.
Quindi, scusandomi ancora profondamente per l'OT, vi chiedo un aiuto, una
dritta, una utility, o anche semplicemente una idea o un barbatrucco per
sapere chi è il processo incriminato, e poi me la cavo da me.
Leggerò attentamente ogni risposta, come sempre. Grazie a tutti per
l'attenzione, resto in attesa.
Sacha
--------------------------------
Inviato via 
http://arianna.libero.it/usenet/

 cavo da me.
Vedi sopra. Comunque, una procedura, per quanto possibile completa,
per una bella pulizia, č sempre sul sito di "san Vincenzo", ma mi raccomando,
segui passo passo i suggerimenti e senza saltare niente: tu potresti non
sapere perché un passo serve, lui sě. Cito dai suoi post:
**************
Leggi e segui attentamente questo editoriale:
http://www.microsoft.com/italy/technet/community/mvp/editoriali/spyquick.mspx
"Spyware e Malware: chi ci spia? - "Fix Rapido".
Se al termine delle procedure non hai risolto il problema vai qui:
http://www.microsoft.com/italy/technet/community/mvp/editoriali/spyware.mspx
"Spyware e Malware: chi ci spia?"
Fai anche una scansione con anti-rootkit di Sophos.
http://www.sophos.it/products/free-tools/sophos-anti-rootkit.html
... e con GMER: 
http://www.gmer.net/
Prova anche UnHackMe.
http://blogs.dotnethell.it/vincent/Post_8863.aspx
**************
Penso di averti dato un po' di roba da digerire. Buon divertimento :-).
Bye, G. 

 **************
Paperino, non so come ringraziarti. Mi hai dato un sacco di consigli e
cercherň di metterli tutti in pratica. L'unico ostacolo č che la macchina
non č la mia, e ho soltanto a disposizione tre orette domani. Spero che
bastino per risolvere la cosa in modo definitivo. Sarebbe tutto stato piů
facile se avessi potuto piallare il computer.
Ti farň sapere com'č andata. Grazie per ora.


 Ti farò sapere com'è andata.
Ci mancherebbe che non lo facessi... >:-].
Un'ultima cosa: ricorda che ribeccarsi qualcosa è la cosa più semplice,
quindi appena la macchina è ragionevolmente pulita è fondamentale
aggiornare tutto l'aggiornabile.
Bye, G. 

 serve solo a farsi odiare.
Non era il contrario? :)
Ciao

agli antivirus e ai tool specifici.
Ricordo le foto in manette del tipo che mise in rete lo script "i love you" e mi
domando se contro questi non si puň fare niente?
Perchč l'FBI non li becca?
--
ciao
  Stefano

 aggiornare tutto l'aggiornabile.
Si, lo so, anche se non so che cosa posso fare di più: gli ho installato due
antivirus che si aggiornano automaticamente, gli ho installato AVG/Ewido,
gli lascio il pacchetto di Sysinternals, e ogni tanto vado a controllarlo.
Inoltre, e soprattutto, l'ho istruito sui rischi che si corrono scaricando
roba a gatto selvaggio, e lui sembra aver capito e ora scansisce tutto ciò
che scarica prima di aprirlo, sta attento a tutti i siti che visita e legge
tutte le finestre di messaggio che incontra, insomma ha cambiato
atteggiamento.
La domanda veramente importante ora è: quanto gli chiedo per tutto questo?
Beh, ancora non ho risolto, anche se mi sembra che sono sulla strada giusta.
Per correttezza dirò "gatto" martedi, se ce l'avrò nel sacco.
Grazie a tutti, e soprattutto a Paperino (e a Vincenzo, se ci sta leggendo).


 settimana vi dico per certo se è bastato.)
Risposta: non è bastato.
Gli si sono ricreato entrambi, e se era possibile, la situazione è perfino
peggiorata.
Non so più che pesci pigliare, credo che mi ritirerò in meditazione per
qualche giorno.


 perfino peggiorata.
:-(
E' ora di usare le armi pesanti >:-[ . Stacca il disco, mettilo su una
macchina pulita, e controllalo con diversi antivirus, magari on-line.
Bye, G. 

 Perchč l'FBI non li becca?
Ci prova, ci prova... ma se non ricordo male, sono russi. Usano
catene di proxy abusati, server in corea, cina e terzo mondo...
insomma, non č facile come si potrebbe pensare :-(.
Bye, G. 

 Non era il contrario? :)
No :-).
Bye, G. 

 E' ora di usare le armi pesanti >:-[
giusto. e' ora di porre le vere domande.
il file/dossier mitrokhin, che processi provoca?

 Ci prova, ci prova... ma se non ricordo male, sono russi.
appunto.
dasvidanie, a.

 macchina pulita, e controllalo con diversi antivirus, magari on-line.
Il disco?! Sono sei, e siccome era attaccato durante l'infezione, stavolta
si č infettato anche il portatile!..
Vabbč, ennesima puntata dopo ennesima ricerca su internet. Gli ho fatto una
pulizia manuale, ennesima doppia scansione, chiuso le porte, cancellato file
temporanei, temporary internet files, cookies, svuotata la cartella
Prefetch, ripulito il registry, aggiornato (gli) antivirus e (gli)
antispyware, e incrociato le dita. Ho usato tutte le ultime tecniche che ho
trovato in rete, piů qualcosina extra che avevo dimenticato l'ultima volta.
Insomma, tutto cio che potevo fare senza spegnere il computer. Speriamo
abbčne...
Ne saprň l'esito tra qualche giorno, in caso negativo anche domattina
(questo mi sta cominciando a dormire sul pianerottolo). Pregate per me.



Salve a tutti.
Questo post č solo per comunicare che sembra che l'ultimo intervento abbia
funzionato. Sono tre giorni che il tizio mi chiama per dire che i file
malefici non si sono riformati, nonostante lui continui a scaricare
l'impossibile con EMule.
Desidero ringraziare tutti per l'attenzione, ma soprattutto Paperino per le
dritte sulle utility ex-Sysinternals/ora Microsoft.
Desidero anche ringraziare in contumacia Vincenzo Di Russo per aver
pubblicato i link per poterle scaricare
Grazie ancora a tutti e Buone Feste. Spero qualche volta di poter
ricambiare.
