Newsgroup: it.comp.os.linux.iniziare
Titolo: Ripulire un pc da virus e malware da Ubuntu via lan..

Ho una lan formata da un pc con ubuntu 7.04 e XP dall'altra parte
collegati da un router adsl..
Esistono strumenti ad hoc x ripulire quel pc? Nel caso specifico non
riesco a ripulirlo da un malware/dialer/trojan.. praticamente è un
puttanaio e non si riesce a rimuovere nulla tantomeno da mod. provvisoria
perchè è sempre attivo.. è un virus tipo sdbot o office.exe che sembra
stia attivo come servizio di sistema.. vorrei provare da linux in lan,
dite che è possibile? e se si con quali strumenti??
Bye e grazie..
-- 
psss.: Se vuoi scrivermi in privato,
togli Sir. e cita il messaggio ; ]

 dite che č possibile? 
No.
Se e' un rootkit attivo come servizio, senza accesso fisico alla
macchina non lo eradichi, e se e' della generazione successiva a
gromozon, fai fatica anche cosi'.
-- 
           |Save our planet!
    Ciao   |Save wildlife!
   roberto |For your E-MAIL use ONLY recycled Bytes  !!
           |roberto poggi   
rpo...@softhome.net

 due minuti.
Perchè il disco è ntfs e non me lo legge ne scrive..
Bye e grazie


 gromozon, fai fatica anche cosi'.
Ho trovato un trojan che ha scaricato un mare di dialer e malware, inizia
con SDbot o simila, non si riesce a eliminarlo con nulla perchè trovo
caricato questo cavolo di OffIce.exe, dal registro l'ho tolto ma lo carica
da qualche altra parte.. sic..
Bye e grazie


 da qualche altra parte.. sic..
Appunto: devi andare in loco, avviare una live di windows, eliminare i
file nati troppo recentemente, sradicare gli ADS, importare il registro
ed eliminare i servizi, togliere i BHO, OCX, ...
Cosa che NON PUOI fare da remoto, visto che il file system che puoi
vedere da remoto e' comunque filtrato dal rootkit stesso, e _LUI_
non lo troveresti mai.


 scrittura almeno dalla versione 5.1.
Uso Ubuntu Fiesty e sicuramente non ho attivato qualcosa, ma di base
(appena installato), non scrive su ntfs..


 live (knoppix) da far girare sulla macchina win per fare la scansione
[...]
Ed io ti ho detto che Knoppix non scrive su dischi NTFS, tu mi hai capito?
Se lo scrivo significa che c'ho provato!!
Stessa cosa con Ubuntu live 7.04 che NON scrive sul disco NTFS quindi NON
mi fa cancellare niente, tantomeno un antivirus che fa la scansione e
rileva (e qui posso dire che non c'è antivirus che mi rileva stò
malware/dialer, solo sophos ci riesce a quanto vedo).



Guarda che è assolutamente assodato: se si tratta di un rootkit occorre
che formatti l'HD (Windows o Linux che sia). 
Inoltre è proprio per questo che usiamo Linux: perchè adoperato bene (in
primis dall'account user) è quasi inattaccabile.

 Stessa cosa con Ubuntu live 7.04 che NON scrive sul disco NTFS
lsmod | grep fuse || sudo modprobe fuse
menu sistema > amministrazione > sorgenti software > assicurati che
sia spuntata l'opzione "universe", e scegli di scaricare dal "server
principale"
sudo apt-get update
sudo apt-get install ntfs-config
gksu ntfs-config
gksu nautilus
Non funge?
-- 
Bye, Lem
Ceterum censeo ISLAM esse delendum
__________________________________
Combatti l'AIDS col tuo computer: 
http://fightaidsathome.scripps.edu/

 primis dall'account user) è quasi inattaccabile.
Ho finito ora, da BartPE (disco live di XP Sp2) ho elimintato i vari
trojacci e eseguito i vari antivirus aggiornatissimi, poi rebottato e
caricato sophos e nod32 aggiornati manualmente dato che era andata pure la
porta tcp e firewall modificato ad hoc dal trojano.. la scansione ha
eliminato un pò di roba e poi rebootato, ho risistemato le chiavi di
registro modificate, quindi le policy, diritti utente, amministratore,
pulito regkey di iexplorer e menate varie (fortuna che le ho trovate
dentro sdfix), ho reinstallato SP2 e mezzo miliarto di patch (xp
registrato) e mi ritrovo nel firewall 5 eccezioni MDM ROCKS 4 (e non era
il modem!!) che puntavano a 5 files sxxxyssjz.exe che ovviamente avevo
tolto prima.. insomma, dubito che un utente normale avrebbe pulito come ho
fatto io.
Per inciso, ho questo pc (ubuntu fiesty) in lan con quel pc del cliente e
la lan era KO, o meglio.. la connessione via wifi era disconnessa
continuamente, non sò se è il virus che mi bloccava qualcosa pure su linux
(ho trovato con netstat -t tcp una ventina di connessioni)..
Bye


 Non funge?
Ok funge, ma non le sapevo queste cose.. la prima riga non l'ho capita, a
che serve fuse ?
X smontare i volumi dalla scrivania devo andare in terminale sudo umount
/media/discoxyz ogni volta? Altrimenti mi dice che non ho i permessi di
root..
Bye e grazie ancora, vado a leggere..


 succede e si vede di rimediare.
Mi hai detto delle cose precise, io ti ho risposto.. non era scaldarsi..
Comunque ho finito ora, da BartPE (disco live di XP Sp2) ho elimintato i
vari trojacci e eseguito i vari antivirus aggiornatissimi, poi rebottato e
caricato sophos e nod32 aggiornati manualmente dato che era andata pure la
porta tcp e firewall modificato ad hoc dal trojano.. la scansione ha
eliminato un pò di roba e poi rebootato, ho risistemato le chiavi di
registro modificate, quindi le policy, diritti utente, amministratore,
pulito regkey di iexplorer e menate varie (fortuna che le ho trovate
dentro sdfix), ho reinstallato SP2 e mezzo miliarto di patch (xp
registrato) e mi ritrovo nel firewall 5 eccezioni MDM ROCKS 4 (e non era
il modem!!) che puntavano a 5 files sxxxyssjz.exe che ovviamente avevo
tolto prima.. insomma, dubito che un utente normale avrebbe pulito come ho
fatto io.
Per inciso, ho questo pc (ubuntu fiesty) in lan con quel pc del cliente e
la lan era KO, o meglio.. la connessione via wifi era disconnessa
continuamente, non sò se è il virus che mi bloccava qualcosa pure su linux
(ho trovato con netstat -t tcp una ventina di connessioni)..
Bye (ripreso da sotto)


 Non funge?
.. mannaggia non posso più montare alcun volume da "Computer" mi dice che
devo essere root :( e neppure dall'applet mi da permesso.. uff.. vabuò.
Bye


 che formatti l'HD (Windows o Linux che sia). 
Palle.


 che serve fuse ?
Fuse (Filesystem in USErspace) è un modulo del kernel che consente di
creare/gestire un filesystem grazie ad un programma (che sta nello
userspace, e nel tuo caso si chiama ntfs-3g). Il bello è che, siccome
il programma uno se lo fa come gli pare, può crearsi/gestirsi un
filesystem come gli pare[*], anche al di là delle possibilità native
del kernel.
[*] Per esempio vedi:
http://fuse.sourceforge.net/wiki/index.php/FileSystems



Ma perchè non usi Google? La computer security richiede cognizioni
specifiche che vanno studiate, non è che possiamo sparare la prima
cazzata che ci viene in mente.
"Sono molti coloro che ritengono che eliminare un rootkit sia praticamente
impossibile. Anche se si conoscesse l'esatto funzionamento di un dato
rootkit, il tempo, gli sforzi e le competenze tecniche richieste per
riuscire ad "estirparlo" dal computer infetto sono tali da rendere
preferibile formattare il disco fisso e reinstallare il sistema operativo
vergine...
...L'unico modo di evitare l'installazione di un rootkit sul proprio
sistema è quello di fermarne l'ingresso. Bisogna ricordare che un rootkit
non è progettato per aiutare un intruso ad ottenere un accesso al sistema,
bensì è progettato per far si che un intruso, dopo essersi guadagnato un
accesso non autorizzato, possa "lavorare" in silenzio ed indisturbato. Per
ottenere tale accesso, l'hacker di solito sfrutta alcune delle
vulnerabilità note dei servizi installati nel sistema, oppure tenta di
scoprire le password deboli. Quindi, per evitare problemi, si rivela
necessaria l'installazione di un firewall, di applicare le patch più
aggiornate per il software di sistema, e di disabilitare tutti i servizi
non strettamente necessari."
http://www.ippari.unict.it/wikippari/wiki/Rootkit

 cazzata che ci viene in mente.
[...]
Io l'ho tolto, in ultimo persino dentro a Recycle Bin c'erano 4 trojan che
si avviavano nascosti da un hive credo.. e che nessun antivirus ha
rilevato.
Bye



Ma è proprio questo il punto! Se si tratta di un rootkit non puoi essere
sicuro che hai tolto tutto, come fai a dire: "Io l'ho tolto"???
Guarda Google: lo puoi trovare scritto in mille siti.
Ecco un altro esempio:
"And as for rootkit removal tools, Cooper remarks that "only a person with
very little knowledge would try to remove a rootkit," adding that the one
certain cure is to wipe the hard disk and reinstall the OS."
http://www.pcworld.com/article/id,120658-page,1/article.html

 
http://www.pcworld.com/article/id,120658-page,1/article.html
Bé NON tutti possono rimuovere dal registro determinate chiavi, ma se hai
conoscenze di hijack e altri pochi ma buoni tools che NON sono
superspyware o smili, riesci a rimuoverli perfettamente :)




Evidentemente tu credi, con il semplice uso di Hijackthis,  di essere più
in gamba degli hacker che scrivono queste cose in internet. 
A te piace vivere di illusioni...
P.S.: con Hijackthis riesci pure a rimuovere Blue Pill della Rutkowska?
Vuoi un buon consiglio? Usa Windows e lascia perdere Linux, che non è
proprio il caso.

 proprio il caso.
Bé non ho detto di usare esclusivamente Hijack, ma ci sono altri tools che
analizzano i processi attivi e soprattutto uso un CD live con XP sopra x
entrare nel registro del pc infettato e analizzarlo; io sono in grado di
farlo tanté che non ho mai formattato il pc di chi me l'ha consegnato x
ripulirlo, e ne ho visti parecchi eh.
Ehm.. compilavo i kernel di redhat 10 anni fa x abilitare la Rage Fury Pro,
creare shell in remoto e mail server in locale.. qualcosina ne capisco,
poco.. ma qualcosa si :) poi l'ho abbandonato x motivi professionali.


 CUT
Concordo con quanto dice più sotto Larsenio.
A mia volta ho ripulito una bella quantità di macchine (sia server -che 
ghe vegnet un cancher a quelli che ci hanno sbattuto virazzi dentro! - 
che normali pc). E ovviamente non solo usando "tool", ma a manina 
ravanando nei registri, con un po' di "fiuto" per i file "che sono nei 
posti sbagliati coi nomi sbagliati e con le dimensioni sbagliate" ecc 
ecc... Oltre che con l'aiuto dell'indispensabile web.
Certo, delle volte fanno davvero sudare eh!
-- 
GenTLe ...di Varese, provincia.
TL1000S + Mito 125 per la pista
La mia HP: 
http://digilander.iol.it/thegentle/index.htm
"see me, feel me, touch me, heal me" (cit.)

 Certo, delle volte fanno davvero sudare eh!
Esatto.. e questo insegna che nessuno antivirus è perfetto, NESSUNO.. dal
live CD con BartPE e poi da Ubuntu Live con accesso ntfs e f-prot, nessun
antivirus (web compreso) ha rilevato quei virus nel Recycle Bin.. poi come
li ho spostati, sono stati identificati, ho ancora i log di virustotal.
Bye :)




Compilavi i kernel di redhat 10 anni fa? Ebbene questo non vuol dire che
ne capisci di computer security, sono due cose completamente differenti.
Ho sentito programmatori sperimentati sparare fesserie colossali nel campo
della computer security.
Quello che tu dici, ripulire OS con rootkit è una bestialità pura e
semplice e ti ho già riportato due riferimenti in questo senso (vedi post
precedenti), ma ne puoi trovare mille, basta che deponi il tuo senso di
onnipotenza e ti degni di consultare Google. E ti ripeto la domanda:
riesci pure a rimuovere Blue Pill della Rutkowska? No, così, tanto per
farmi due risate.


Sapete cosa vi dico? Voi di computer security non capite un tubo.
Provatevi a sradicare Blue Pill della Rutkowska.

 P.S.: con Hijackthis riesci pure a rimuovere Blue Pill della Rutkowska?
Non conosco Hijackthis, e non sono certo un esperto di sicurezza
informatica, ma se il sistema infettato è ***spento***, avendo
accesso ai dischi non vedo che difficoltà si debbano incontrare nel
rimuovere qualsiasi malware che sia noto, Blue Pill compreso.
Invece può essere problematico, ed a volte pare impossibile,
intervenire su un sistema infettato *acceso*.


 vergine...
Bravo, se tutti facessero cosi', nessuno saprebbe come combatterli, i
rootkit, e come sradicarli, e noi sysadmin saremmo occupati ogni ora
del giorno a reinstallare le macchine, perche' appena reinstallata,
te la ritrovi massacrata di nuovo.
Ho fatto un esperimento, una volta:
server esposto, con ssh bucato di cui da un paio di settimane si sapeva
il bug: Aperto il firewall, macchina NON nominata in nessun DNS, tempo
sette ore era piena come un uovo.
Non generalizzare, come fa quel brano (non so se in tutto il discorso
ci sia la specifica): un server in produzione ha una priorita' totale:
Essere di nuovo raggiungibile ed usabile in tempo appena superiore a 0.
IN questo caso, nemmeno si reinstalla, si riparte dal dump fisico, che
si fa molto prima.
Ma resta il fatto che i rootkit li si toglie, con pazienza e sapienza.
Specialmente quelli di windows, che era, poi, l'oggetto del thread. ;-)
Solo che non li togli da remoto.


 
Posso una domanda da "nubbio"? Tramite la virtualizzazione non si 
possono vedere i rootkit di Windows ad esempio? Lo spunto mi è venuto da 
quaesto articolo, un po' bizzarro in verità poichè dovrebbe valere più 
per gli hacker che per i rootkit veri e propri:
http://it.slashdot.org/article.pl?sid=06/06/29/2111208
Grazie per la risposta, se vuoi.
Bushi Solitario.

 Provatevi a sradicare Blue Pill della Rutkowska.
Interessante, hai letto da cosa è nato Blue Pill?
Leggi, su wikipedia dicono tante cose e sulla controversia nata da questa
ricerca.
Bye


 farmi due risate.
Io riesco a ripulire ove conosco la situazione in loco.
Mi sembra banale ribadire che NON puoi conoscere tutto, ma fin dove arrivi,
inutile formattare.. poi se tu consigli di formattare x un banale virus
malware trojan, allora sei sullo stesso piano di tanti negozi di informatica
che formattano x una caxxata, ma li la questione è puramente monetaria.


 intervenire su un sistema infettato *acceso*.
Acceso è impossibile, si verifica che il malware o rootkit ha doti che
inibiscono i vari antivirus eo tools di rimozione.. si lavora sempre da un
disco pulito o di sola scrittura o come nel mio caso, da una chiave USB
protetta (difatti ti darà errore di accesso alla chiave se il trojan tenta
di scriverci).
http://en.wikipedia.org/wiki/Blue_Pill_(malware)


 Acceso è impossibile
In generale, non è affatto impossibile. Dipende dal rootkit. 
Comunque Blue Pill è particolare proprio perché l'autrice sostiene
(autorevolissime opinioni contrarie esistono, e a naso darei credito
a queste ultime: vedi
http://www.virtualization.info/2006/08/debunking-blue-pill-myth.html
)
che sia impossibile anche solo individuarlo a sistema acceso.
Che, poi, sia estremamente preferibile agire da un sistema pulito, o
magari riformattare, è tutt'un altro paio di maniche.


 
http://it.slashdot.org/article.pl?sid=06/06/29/2111208
Ma questo e' l'esatto contrario.
Qui si usa uno strato di virtualizzazione nascosto su cui far girare
il sistema operativo "pulito" che pero' e' soggetto ai voleri dello
strato inferiore, che e' un rootkit estremizzazto, appunto.
[*] Raramente, non escludo che possano esserci altri problemi, file
system criptati, e cose del genere.


 si fa molto prima. 
E allora che problema c'è dico io, stiamo discutendo per il solo gusto di
discutere...sei per caso toscano :-)

 magari riformattare, è tutt'un altro paio di maniche.
E che sopratutto non sempre c'è da formattare. ^_^


 discutere...sei per caso toscano :-)
Hai tirato fuori un discorso fuori luogo nel senso che ci sono casi e casi,
ovviamente a casa mia o un pc di un cliente che sò usare x scopi *NON*
professionali, posso sbizzarrirmi come mi pare sapendo ciò che *IO* faccio.


 discutere...sei per caso toscano :-)
No, io i toscani li fumo.


del potomac, per sentirci sicuri.
Il Serni aveva proposto anche i pescecani alla catena, ma lě si
parlava di fondo del mare... qui mettiamo dei pirahna? ;-)
-- 
Ci sono 10 tipi di persone al mondo: quelle che capiscono il sistema binario
e quelle che non lo capiscono.

 non stanno ne' in cielo ne' in terra.
Guarda, e questo è il mio ultimo post sull'argomento qualunque sia la tua
risposta, ho rispetto per la professionalità di chiunque, ma non ho fatto
che ripetere quello che c'è in internet sull'argomento, non ho fatto
alcuna sparata, e ti riporto di nuovo:
"And as for rootkit removal tools, Cooper remarks that "only a person with
very little knowledge would try to remove a rootkit," adding that the one
certain cure is to wipe the hard disk and reinstall the OS."
http://www.pcworld.com/article/id,120658-page,1/article.html
Tu ritieni che questo Cooper dica una cosa errata? Benissimo, siamo in
democrazia e c'è la libertà di parola. 
Per me la questione è chiusa.

 
http://www.pcworld.com/article/id,120658-page,1/article.html
[...]
PcWorld ha sparato raramente caxxate bestiali nel corso di tanti anni.
Questa ne č un pregevole esempio.


 alcuna sparata
Claudio, l'hai fatta eccome la sparata!
Se sai cos'è la logica, una frase come "Guarda che è assolutamente 
assodato: se si tratta di un rootkit occorre che formatti l'HD (Windows 
o Linux che sia)." a casa mia significa "guarda che lo sanno tutti: se 
ti becci un RK devi formattare tout court". Frase che presuppone:
- chi non la pensa così è uno che "non lo sa" e quindi un fesso
- che se becchi un RK non hai altro che spianare la macchina.
Beh, è una cazzata galattica.
Perché non vera: non è assolutamente assodato ecc ecc, e ne hai avuto 
esempi.
E piantala di citare google. Che su google ci trovi anche gente che ti 
dice che Ilona Staller è vergine...


 dice che Ilona Staller è *vergine* ...
Azz.. questa m'è sfuggita ^^
Bye :)


 Azz.. questa m'è sfuggita ^^
Era su un sito astrologico.
Ed era comunque una informazione errata: e' un sagittario.
