Newsgroup: it.comp.os.win.xp
Titolo: Nuovo virus o cosa?

Sto affrontando da due giorni un problema assai fastidioso sul 
computer usato dal resto della famiglia e, occasionalmente, anche da 
me.
Si tratta del solito ridirezionamento della home page di default di 
Internet Explorer.
All'avvio il browser punta sempre su un sitaccio maledetto cashsearch 
etc (a scanso di equivoci e' meglio non mettere link).
Ho passato al setaccio l'intero sistema con Ad-Aware, Spy Bot Search &
Destroy, Antivir Personal Antivirus tutti aggiornatissimi nonche' con 
le utility di Symantec per i virus Blaster e Sasser (non rilevati).
All'inizio ci ho trovato worm e trojan che ho provveduto a ripulire, 
quindi attualmente nessuno dei programmi appena citati rileva 
alcunche'.
Nemmeno CWShredder rileva nulla mentre hijackthis rileva le chiavi di 
registro modificate, questo stesso programmino puo' cancellare le 
chiavi incriminate sostituendo dati leciti a piacere dell'utente ma 
dopo pochi secondi dette chiavi vengono riscritte esattamente come 
prima con i dati "cattivi".
La scansione online di Panda Antivirus mi manda in crash il browser 
mentre la scansione online da Symantec non rileva virus.
In modalita' provvisoria hijackthis elimina quelle chiavi di registro 
e l'eliminazione permane fino a quando si e' in questa modalita', 
quando riavvio il sistema normalmente ecco che i dati cattivi vengono 
riscritti esattamente come prima.
Con msconfig non vedo nulla di anomalo e i servizi in avvio sono tutti
"leciti".
Ci deve essere un programmino che si attiva automaticamente ma non so 
dove andare a cercare.
Idee?
-- 
Decibel
icq:  2802809
irc: |Decibel|

 ...
Prova 
http://www.romanelmondo.com/sugg/startpage.htm
-- 
Andy
~ : ~ : ~ : ~ : ~ : ~ : ~ : ~ : ~
 
http://www.inzona.com
~ : ~ : ~ : ~ : ~ : ~ : ~ : ~ : ~
Yahoo ID andrea26272

 ha scritto:
-> Prova 
http://www.romanelmondo.com/sugg/startpage.htm
Grazie per la risposta, conoscevo quel sito ma l'unica cosa che non ho
provato di quei suggerimenti e' stata la rimozione del file "hosts".
Mi sono tolto la curiosita' di vedere cosa contenesse questo file e mi
sono accorto che e' una lunga lista di siti porno, crack e altra 
mondezza varia.
Ogni sito in lista e' preceduto dall'ip 127.0.0.1
Ho cancellato il file (anzi i due file) in modalita' provvisoria con 
prompt dei comandi.
Se riavvio in modalita' provvisoria i file non vengono generati, se 
invece riavvio normalmente i file vengono generati nella stessa 
ubicazione da dove l'avevo tolti e cioe' uno in c:\windows e l'altro 
in c:\windows\system32\drivers\etc (o qualcosa del genere).
Cio' che viene generato contiene la stessa mondezza di prima.
Io non so piu' che fare, avro' visitato 2-300 siti e in nessuno di 
questi ho trovato la soluzione al mio problema ... alla fine piallo 
tutto e vaffa ......


 mondezza varia.
Molti programmi tra cui Spybot e SpywareBlaster permettono di bloccare 
il file Host in sola lettura per impedirne la modifica non autorizzata
Questo naturalmente va fatto quando il sistema non č ancora copromesso.
Prova comunque a applicare il file host di spybot e a verificare con la 
apposita utility di non avere controlli ActiveX maligni sul pc(marcati 
in rosso) se sě sempre con Spybot puoi tentare di eliminarli

 etc (a scanso di equivoci e' meglio non mettere link).
[cut]
Ho avuto lo stesso problema con un PC di un cliente... il sito si
chiamava "
greatsearch.biz
".
Dopo aver rimosso un paio di troian [1], ho installato sia spybot
e Ad-aware, hanno rimosso qualcosa ma qualcosa reindirizzava
sempre e cmq su quel sito.
Da MSconfig ho deselezionato tutte le voci, ma cmq, nonostante
modifassi la pagina iniziale (ho provato persono con regedit)
veniva subito ripristinata l'altra. Stessa cosa in modalità
provvisioria.
Decido di far cercare a Spybot e ad-ware in modalità
provvisiora ed infatti ad-ware trova qualche altra cosa.
Al riavvio tutto è tornato normale.
___
[1] Come Antivirus era installato NOD32 2.0 aggiornatissimo.
I due virus erano:
- Win32/TrojanDropper.Small.GX cavallo di troia	
- Win32/Spy.Small.V cavallo di troia			
I primi 2 giorni i due troian non venivano rilevati e in
pratica li ha riconosciuti solo dopo 3 o 4 giorni dall'infezione.
Da quando uso NOD32, non è la prima volta che individuo un virus
prima che lo riconosca lui, anzi un paio di volte ho inviato
dei file infetti direttamente alla FutureTime (distributore per
l'Italia). A qualcuno di voi è capitato di trovare dei virus
che non vengono riconosciuto dall'AV se non dopo qualche giorno?
-- 
Daniele Pinna  (leva oops. per rispondere) * ICQ "chiedilo"
Sito Web: Il DoCFa in Pillole: 
www.dapinna.com

 ha scritto:
-> apposita utility di non avere controlli ActiveX maligni sul pc(marcati 
-> in rosso) se sì sempre con Spybot puoi tentare di eliminarli
Ho risolto cosi':
http://www.wilderssecurity.com/showthread.php?t=33419


 irc: |Decibel|
Ciao Stefano,
puoi spiegare anche a me, in breve, come hai fatto? Ho guardato il link, ma
è completamente in inglese e io non conosco una sola parola di inglese ( io
gnugnu ).
grazie.
--------------------------------
Inviato via 
http://arianna.libero.it/usenet/

Il giorno Tue, 25 May 2004 14:47:37 UTC, 
feno...@libero.it
 (maurizio)
ha scritto:
-> puoi spiegare anche a me, in breve, come hai fatto? Ho guardato il link, ma
-> è completamente in inglese e io non conosco una sola parola di inglese ( io
-> gnugnu ).
Be' nemmeno io conosco bene l'inglese :-)
Ad ogni modo mi e' stato consigliato di copiare questo testo e 
incollarlo sul notepad (blocco note).
REGEDIT4
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellSer
viceObjectDelayLoad]
"System"=-
[-HKEY_CLASSES_ROOT\CLSID\{061646A1-DC57-487D-B023-A938198C174E}]
[-HKEY_CLASSES_ROOT\CLSID\{4E8A9E72-8942-40EF-88DF-A559152F6B41}]
[-HKEY_CLASSES_ROOT\CLSID\{6E94CEC3-0C84-4310-AE20-CD4090178388}] 
(attenzione se il tuo client news taglia le frasi devi ripristinarle 
come segnalato sul post originale qui: 
http://www.wilderssecurity.com/showpost.php?p=179502&postcount=18
)
Salvare il file con estensione *.reg per esempio io l'ho salvato (in 
una cartella temporanea o dove si vuole) come "clean.reg".
Per sicurezza ho avviato in modalita' provvisoria e da li' ho fatto 
doppio clic sul file appena creato.
E' un file di registro e il sistema chiede conferma se si vogliono 
aggiungere al registro quelle chiavi.
Ovviamente bisogna rispondere si con tutta la forza che si ha tra le 
mani :-)
Poi bisogna cercare il file system32.dll e, una volta trovato, 
cancellarlo senza pieta'.
Fatto
Riporto il testo cosi' come appare nel post originale:
----------------------------------------------
Originally Posted by Shadowwar
Copy the contents of the quote box to notepad:
Quote:
REGEDIT4
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellSer
viceObjectDelayLoad]
"System"=-
[-HKEY_CLASSES_ROOT\CLSID\{061646A1-DC57-487D-B023-A938198C174E}]
[-HKEY_CLASSES_ROOT\CLSID\{4E8A9E72-8942-40EF-88DF-A559152F6B41}]
[-HKEY_CLASSES_ROOT\CLSID\{6E94CEC3-0C84-4310-AE20-CD4090178388}]
hit 'save as'
give it the name 'clear.reg'
under the filename set file types to all files.
save it to the desktop.
After done double click the clear.reg
when asked to merge say yes
then find this file:
system32.dll
its probably in one of two locations:
c:\windows\system32\system32.dll
c:\windows\system\system32.dll
and delete it.
Also does the following things! :
1. it drops a hosts file blocking all competitor cws sites.
2. It attacks the updater modules for Antivirus. Please check to make 
sure the users's Antivirus updates still work.
----------------------------------------------------------------
Per i pigri il file si puo' scaricare qui ma ha l'estensione *.txt, 
quindi bisogna scaricarlo, aprirlo con il blocco note e fare "salva 
con nome" e salvarlo, come detto, con l'estensione *.reg
http://www.wilderssecurity.com/attachment.php?attachmentid=137126


Il giorno Tue, 25 May 2004 14:47:37 UTC, 
feno...@libero.it
 (maurizio)
ha scritto:
-> Ciao Stefano,
Dimenticavo .... io non sono Stefano :-))))
