Newsgroup: it.comp.os.win.xp
Titolo: help ai più bravi - - impossibile navigare dopo alcuni minuti

portatile hp pavillon dv1000
home edition originale e aggiornato da upadate fino al 16.3.2008
collegato a router perfettamente funzionate in quanto si naviga 
tranquillamente con gli altri pc della rete
dal 17.3.2008 denuncia cadute della connessione
il proprietario fa alcune scansione con dei spy-rimuovitori
me lo porta
sintomi da virus bagle, avast bloccato, gmer, hijackthis, avenger bloccati
installo urlsnoopere e loggo le uscite sulla scheda di rete: traffico a 
siti porno ed email ad amministratori di spam, un file fun.xls.exe, file 
  .rar in incoming di emule
sembra cosa facile:
scarico le nuove versioni di avenger e pulisco gli exe più rinomati
riesco ad installa una versione trial di karspesky che pulisce ancora
eseguo spyboot e pulisco ancora
eseguo mwav e ancora schifo (essendo un demo non pulisce)
il problema della connessione che cade (su adsl) continua ed è 
indifferente sia su wireless che su ethernet.
le prove le faccio sia su filo che wireless e comincio a dubitare che 
sia un guasto del pc: infatti monitorizzo la rete da alt-control-canc e 
quando l'attività della connessione picchia a zero, se eseguo comunque 
un ping al router o a 
www.google.it
 il pc risolve correttamente il 
comando senza pacchetti persi.
in pratica non si naviga, non si connette a messanger, ecc..
leggo su internet di danni al tcp dopo alcune infezioni, eseguo il 
repair col solito programmino.
cancello le connessioni di rete e le rifaccio
mi accanisco sul wireless disinstallando la scheda e reinstallandola e 
provando le gestioni proposte dall'hp per quella scheda sia senza (in 
ogni caso non parte mai il (zero configuration per le schede senza 
filo). insistevo a sistemare questa cosa sperando in una sovrascrittura 
di qualche file di sistema che sistamasse la cosa.
trovavo un consiglio sulla possibile interferenza di un software 
utorrent, che in effetti è installato nel pc, e lo tolgo
elimino tutti i software p2p presenti sul pc
tuttavia la conenssione ad internet su ethernet e/o su wireless si ha 
solo dopoa ver riavviato il pc e solo per alcuni minuti. poi caput
suggerimenti? suggestioni? indizzi?
p.s. a te, maniaco del formattone:
non formatto se non ho capito prima qual è il problema
tra un mese, con lo stesso ambiente software, il mio amico sarebbe nelel 
medesime condizioni (è un depravato dl p2p!)
-- 
consultando un numero sufficientemente alto di esperti,
è possibile sostenere qualunque ipotesi - [capsula]

> sintomi da virus bagle, avast bloccato, gmer, hijackthis, avenger
bloccati
da un PC pulito (non da quello infetto), scarica, genera la ISO e crea
il CD autoavviante 
http://www.ubcd4win.com/
 assicurati quindi che il
CD parta correttamente
inserisci il CD nel sistema infetto ed avvialo da CD, attiva il supporto
di rete e quindi usa uno dei tools di backup (es. DriveImageXML) per
creare una copia immagine del sistema e/o dei soli files e documenti
dell'utente
a questo punto utilizza i vari tools presenti per effettuare lo
scan/clean
del sistema; eventualmente potrai anche utilizzare tools da chiavetta
USB se necessario; al termine, dopo aver effettuato le scansioni finali
e constatato che il sistema sia per quanto possibile "pulito", riavvia
lo
stesso normalmente e procedi alle ulteriori operazioni di pulizia e
ripristino seguendo queste istruzioni
http://www.microsoft.com/italy/technet/community/mvp/editoriali/spyware.mspx
in qualsiasi caso, considera che, se l'infezione è "profonda" sarà molto
difficile poter considerare il sistema "pulito ed affidabile al 100%"
per cui
dovrai valutare da solo se possa essere il caso di procedere al classico
"formattone" seguito dalla reinstallazione; oltre a questo, quanto
scrivi fa
pensare che il proprietario del computer non sia un utente molto "furbo"
per cui sarebbe opportuno spiegargli le norme di "igiene" basilari onde
evitare che tra qualche giorno/mese si ritrovi nelle stesse condizioni
ciao

 è possibile sostenere qualunque ipotesi - [capsula]
se fai una ricerca veloce nei file e cartelle di sistema trovi un
qualcosa inerente
a "bonjour" ?
bubu07

 è possibile sostenere qualunque ipotesi - [capsula]
anti rootkit in modalità provvisoria
atamata

 atamata
Patch MS06-040. 
ma dà anche un'occhiata al file "hosts" (con notepad) e cancella 
tutto quello che sta sotto a 127.0.0.1  Localhost; a meno che 
non sia stato messo di proposito.
-- 
Postato da Alice Newsgroup: lo usi da web ma con le funzioni del newsreader 
http://newsgroup.alice.it
Gerarchie it, italia, it-alt, tin, it.binari. Unico!

capsula ha scritto:

Ho risposto al messaggio sbagliato: ripropongo.
Patch MS06-040. 
ma dà anche un'occhiata al file "hosts" (con notepad) e cancella 
tutto quello che sta sotto a 127.0.0.1 Localhost; a meno che 
non sia stato messo di proposito


 evitare che tra qualche giorno/mese si ritrovi nelle stesse condizioni
Hai ragione,ho più di un amico di questo genere. E ti dico che dopo anni 
passati a spiegare spiegare spiegare le cose,la soluzione è una sola: 
INTERDIRE l'uso del pc a siffatta gente che non ha la benché minima 
voglia di imparare le norme di base, "tanto poi c'è l'amico co***** che 
mi mette a posto tutto".
Io ho già smesso di correre dietro ai problemi informatici dei più muli 
(inteso come gente che non cambia nemmeno se la pigli a calci dove non 
batte il sole)


perchè usi il sistema sbagliato "amicizia"....
inizia a farli pagare e vedrai che poi ci mettono testa :-)
bubu07

 anti rootkit in modalità provvisoria
non entra (classico di bagle) e non entra nemmeno dopo il fix di safeboot


 
mi sembra un buon approccio, avevo pensato di farlo con un erd commander 
2005
ma quello che ho è un po vecchiotto
preciso che l'ho provato comunque e navigo regolarmente col suo browser 
senza interruzioni, quindi mi sono confermato la tesi che l'hardware del 
portatile non abbia colpe
idem con una live cd di linux (knoppix) su internet senza problemi
allo stato attuale posso usare i tools rootkit più noti
sono riuscito a far stare avviato il sistema di aggiornamento, anche se 
poi non compelto la procedura per via del blocco.
da un update ho capito che al pc mancano solo gli ultimi due 
aggiornamenti critici( che comunque ho provato a scaricare direttamente 
ed installarli da pc, e mi sono beccato un "archivio danneggiato"


 non sia stato messo di proposito.
già controllato, era impostato l'utilizzo del file lmhost da parte della 
connessione e di blocchi sul 127 ce n'erano moltissimi (credo tutti di 
siti balordi, scritti probabilmente da qualche applicativo spy-remover 
usato dal mio amico)
-- 
consultando un numero sufficientemente alto di esperti,
è possibile sostenere qualunque ipotesi - [capsula]

 a "bonjour" ?
ora non più, ma prima mi è passato davanti agli occhi ...
che danni procura?



esiste un problema estremamente pericoloso che attualmente pochi
conoscono o identificano: C:\Programmi\Bonjour\mdnsnsp.dll e il file
correlato mdNSResponder.exe posto nella stessa cartella Bonjiour.
Nel Logfile di HijackThis hai appunto la libreria in questione, e la
leggi alla riga:
O10 - Unknown file in Winsock LSP: c:\programmi\bonjour\mdnsnsp.dll
Cartella e file vengono installati durante l'installazioni di altri
programmi, come ad esempio i programmi della nuova suite di Adobe CS3,
liberamente scaricabili dal sito Adobe, previa libera registrazione,
nelle versioni complete ma di prova con scadenza. Oppure con il
programma iTunes di Apple. Io purtroppo l'ho ricevuto il Bonjour
installando Adobe Photoshop CS3 in italiano.
il problema è che Bonjour modifica il Winsock, che è il file che
gestisce i protocolli di connessione ad internet, e se si cerca di
eliminare cartella, i due files, e le registrazioni nel RegFile, non
si riesce e ripristinare il Winsock
con impossibilità poi di utilizzare il S.O. se non riformattando
tutto.
L'autore del programma Bonjour for Windows è la Apple come potete
vedere a: 
http://developer.apple.com/networking/bonjour/download/
Una possibile soluzione potrebbe essere questa (da me non provata)
http://www.liutilities.com/products/wintaskspro/processlibrary/mdnsresponder/
bubu07

 iTunes di Apple.
questo č ancora installato nel pc.
il sospetto che fosse un "winsock" modificato (upgradato magari per 
gestire piů e meglio connessioni nei vari software p2p č quella che piů 
mi convince)
un upgrade che poi crolla perchč fatto male tirando via tutta la 
connessione.
faccio causa all'apple?
-- 
consultando un numero sufficientemente alto di esperti,
č possibile sostenere qualunque ipotesi - [capsula]

 --
non otteresti nulla visto che nessun ti obbliga ad installare il loro
sw e tanto piu'
accetti l'accordo iniziale! mai letto nel dettaglio che ci
scrivono ? :-)
ciao buon formattone di pasqua :-P
bubu07

 usato dal mio amico)
Scritti da SpyBot.


 Gerarchie it, italia, it-alt, tin, it.binari. Unico!
Un problema simile lo risolsi con Cureit
Hai comunque provato GMER?

> perchè usi il sistema sbagliato "amicizia"....
nah... l'amicizia è l'amicizia; installagli direttamente un "bot"
così almeno la macchina sarà si infetta e sotto controllo da
parte di qualcun altro, ma per lo meno si tratterà di un
amico :D

 commander 2005 ma quello che ho è un po vecchiotto
beh... UBCD tra le altre cose è nato proprio per il "recovery" per
cui credo possa essere la scelta giusta, anche perchè, nonostante
si possano usare anche liveCD basati su Linux, a questi mancano
alcune "features" tra le quali la gestione degli "alternate data stream"
in fase di scansione e la possibilità di effettuare il "mount" al volo
del registry durante la scansione (vedi tool "runscanner" di UBCD)

 Hai comunque provato GMER?
si, dopo aver risolto il proble ma "applicazione win32 non valida"
nessun rosso


 bubu07
-- 
consultando un numero sufficientemente alto di esperti,
è possibile sostenere qualunque ipotesi - [capsula]