Newsgroup: it.comp.os.win.xp
Titolo: Antivir e csrs.dll

Ciao a tutti,
 dall'altro giorno mi succede una cosa strana, appena accedo a windows
xp mi si aprono una 20 di finestre di detection di antivir il quale
trova il file c:\windows\csrs.dll infetto da tr/click.small.kj.1658.
Posso fare qualunque operazione delete, ignore,... ma le finestre di
detection continuano ad aprirsi.
Se entro in modalità provvisoria tutto questo non accade, forse per il
fatto che antivir in provvisoria non carica.
Ho controllato su altri pc con xp ma il file csrs.dll nella cartella
windows non esiste.
Cosa posso fare? Cancello il file?
Grazie 1000.
Cristian

> Cosa posso fare? Cancello il file?
avvia in modalità provvisoria; scarica
hijackthis, avvia il programma e lascia
completare la scansione; a questo punto
localizza le voci relative a csrs.dll e, se
presente csrs.exe e selezionale quindi
clicca "fix checked"
riavvia in modalità normale e procedi
alla scansione completa del sistema
utilizzando l'antivirus
ciao

Ciao a tutti, sono nuove del gruppo, ma ho lo stesso problema indicato
da Cristian.
Ho provato a fare quello che dice ObiWan, ma Hijackthis non trova
nessuna voce relativa al trojan.
Ho provato a guardare sia nel percorso (per vedere se puntava ad un
file csrs.dll o .exe, e anche nella descrizione del programma, ma
niente.
Non so cosa fare, ora.
Qualcuno ha qualche idea?
Riccardo


Ma anche tu hai antivir?
Io ho controllato su diversi pc con win xp e quei file non ci sono,
oggi provo ad eliminarli da modalità provvisoria....
Poi ti dico.

 Poi ti dico.
Sì, anch'io uso antivir.
Però usando hijackthis non sono riuscito a trovare i file.
Ciao
Riccardo

 Però usando hijackthis non sono riuscito a trovare i file.
Perche' questo trojan ha funzioni di rootkit e i file
si rendono invisibili. Scarica IceSword da qui:
http://www.majorgeeks.com/Icesword_d5199.html
Scompatta lo zip e aprilo.
Crea una "process rule" come vedi qui:
http://img260.imageshack.us/my.php?image=80843603gb7.png
Clicca su "Add Rule"
http://img514.imageshack.us/my.php?image=55943378rd4.png
e qui seleziona "Forbid" e "Pathname", poi scrivi nella casella
sotto il percorso:
http://img171.imageshack.us/my.php?image=34943427wn5.png
Quindi clicca su OK e poi Close.
Controlla se nei processi attivi c'e' un C:\WINDOWS\csrs.exe;
se c'e', cliccaci sopra col tasto destro e seleziona "Terminate
Process":
http://img255.imageshack.us/my.php?image=63755985ar2.png
Poi clicca su "File" in basso a sinistra:
http://img522.imageshack.us/my.php?image=47358785nu7.png
Quindi naviga fino alle voci "csrs.exe" e "csrs.dll" in C:\WINDOWS
ed eliminale.

 Hijackthis non trova nessuna voce relativa al trojan.
ok; a questo punto, sia nel tuo caso sia in quello
di Cristian, usiamo la "via canonica"; seguite alla
lettera e senza saltare ALCUN passo le istruzioni
che troverete qui
http://www.microsoft.com/italy/technet/community/mvp/editoriali/spyware.mspx
attenzione a NON saltare alcun punto; anche se vi
sembra che sia possibile farlo.. NON saltate neanche
UNO dei controlli

 UNO dei controlli
Ho scaricato il documento da microsoft ed ho iniziato a seguire i vari
passaggi.
Al momento di collegarmi ad internet avevo però di problemi, dato che
mi trovo dietro ad un router, e che dovendo tornare in modalità
completa di windows avevo ancora lo stesso problema con il trojan.
Allora, rotti gli indugi, ho agito nel seguente modo:
- ho riavviato in modalità provvisoria, sono andato nella directory c:
\windows ed ho cancellato 3 files di nome csrs con diverse estensioni
(uno .dll, uno. exe, il terzo non ricordo);
- ho svuotato il cestino;
- ho aperto regedit, cercato e rimosso la chiave di nome csrs.
Credo sia un metodo parecchio artigianale, ma una volta riavviato il
computer funziona tutto a meraviglia. In questo momento sto
scannerizzando l'intero sistema, ma se sono riuscito ad arrivare fin
qui significa che c'è già stato un sensibile miglioramento.
Prima di fare questo ho seguito TUTTE le istruzioni presenti
nell'articolo di cui sopra relativamente alle operazioni preliminari.
Ciao
Riccardo

 qui significa che c'è già stato un sensibile miglioramento
Fai una scansione con un tool anti-rootkit, perche' quel
trojan che avevi spesso (ma non sempre) installa anche un rootkit
chiamato Rustock.


Ok, grazie.
Provvedo subito.
Riccardo


Verificato, niente rootkit.
Sembrerebbe tutto a posto, ora (speriamo ...).
Grazie a tutti e alla prossima.
Ciao ciao
Riccardo

 - Mostra testo tra virgolette -
Anche io ho cancellato i 3 file e tutto funziona correttamente.... ma
dove posso essere andato a prenderlo questo maledetto csrs???

 dove posso essere andato a prenderlo questo maledetto csrs???
Navigando. Si installa attraverso vulnerabilita' del browser:
http://research.sunbelt-software.com/threatdisplay.aspx?threatid=123385
Hai il sistema operativo aggiornato? Non navigare MAI prima
di esserti accertato di avere il sistema operativo aggiornato
(e cioe' mai quando Windows "sta scaricando gli aggiornamenti":
prima controlla sempre con Windows Update che sia tutto a
posto). E cerca di usare un utente non amministratore.


Ma, allora.... gli aggiornamenti non sono stati fatti tutti e diciamo
che non riesco a capire come ha fatto a passare zone alarm...

 che non riesco a capire come ha fatto a passare zone alarm...
Zone alarm non puo' farci niente: l'exploit che questo malware
usa per installarsi viene caricato direttamente nel browser e per Zone
Alarm e' una connessione come un'altra: IE esce sulla porta 80
e Zone Alarm di default deve permettere a IE di uscire sulla
porta 80 (altrimenti non riusciresti a navigare). I personal firewall
di questo tipo possono fare ben poco contro questi exploit; per
fermarli serve qualcosa di piu' robusto, tipo Core Force (che
pero' e' anche parecchio lungo e difficile da configurare). In
alternativa ti consiglio caldamente ti navigare con il browser
protetto da Sandboxie:
http://www.sandboxie.com
Detto questo, rimane il fatto che tutti gli aggiornamenti
devono essere fatti ed andrebbe sempre usato un
utente non amministratore per navigare: questo trojan,
ad esempio, non sarebbe riuscito ad installarsi con un
utente non amministratore. E magari usa Firefox invece
di IE; con Firefox usato protetto da Sandboxie utilizzando
un utente non amministratore e' quasi impossibile venire
infettati semplicemente navigando.

 
http://www.sandboxie.com
scusa ma č free?
grazie


Dalla URL sopra segnalatati, leggo:
"Sandboxie is free so you really don't have to look around for an
alternative. If you find it makes your Web experience that much safer,
you are encouraged to register the program for a small fee. However,
if you still don't like or can't use Sandboxie for whatever reason,
here are some alternatives."
Giovanni Cesaretti
-- 
"We have a better-than-zero chance of
successfully intercepting, I believe,
an inbound warhead"
Lt. Gen. Henry Obering III, Director
of the US Missile Defense Agency