Newsgroup: it.comp.os.win.windows7
Titolo: exploit explorer.exe malwarebytes

https://i.postimg.cc/kG7WxmHd/exploit.png
 
 
Ho installato l'ultimo antimalwarebytes, non ha trovato nulla ma adesso ogni minuto mi spunta fuori dal tray questo avviso, 185.170.43.95 cosa è? 
Con explorer.exe total virus non ha trovato nulla. Un abbaglio?


Probabilmente un IP di un server che diffondeva malware, al momento 
attuale la scansione di VirusTotal dice questo:
 
https://www.virustotal.com/it/url/254d014f35d484e6c4a767e767438b387eca8ad658ebb6b811e2a7f891b8cfef/analysis/1538938065/
 
 
Spiega meglio cosa è questo avviso che ti viene notificato.
 
 
-- 
Ciao, Guglielmo.

 Con explorer.exe total virus non ha trovato nulla. Un abbaglio?
 
Quel WOW64 potrebbe indicare che una qualche altra applicazione
si è agganciata ad explorer per uscire. Io una seconda occhiata,
e pure una terza, a quella macchina gliela darei con qualche
altro antivirus.
 
Bye, G.


Accendo il computer, si avvia malwarebytes e ogni, circa, minuto mi informa che questo processo explorer.exe sta cercando di connettersi con 185.170.43.95 utilizzando porte random. 
Ora malwarebytes non fa nulla di più e anche analizzando explorer.exe con totalvirus questo non trova nulla. 
Quindi mi chiedo se sia un falso positivo. Con il precedente malwarebytes non diceva nulla e non è cambiato nulla nel mentre. Oppure cosa cercare?

 cosa cercare?
 
Ma sto totalvirus cos'è? Attento che cercando in rete lo trovo indicato 
come un  rogue security program, cioè un faslo avtivirus che è lui stesso 
malware.
 
 
Detto questo, segui il consiglio già dato da Paperino, cui aggiungo 
quello di buttare via quel totalvirus...
 
 


Quello che hai usato anche tu, il sito di verifica ip/file!
 


Su quella macchina girano solo 5 telecamere e il software di videosorveglianza ispyconnect, non fa altro. Posso togliere l'ultimo antimalwarebytes e lasciare defender che non rileva nulla?

 Quello che hai usato anche tu, il sito di verifica ip/file!
 
OK allora Virustotal, parole invertite :-)
 
Lui ti dice che l'explorer.exe che gli dai da esaminare è "pulito" ma non 
può dirti quale altro processo lo invoca, per questo se cerca di 
collegarsi ad un IP che nulla ha a che vedere con Windows ed è schedato 
tra quelli che dispensano o hanno dispensato malware, phishing o comunque 
altre porcherie, da me un campanello di allarme scatterebbe. Tra l'altro 
c'è da chiedersi perché va ad invocare quello in sysWOW64 e non quello 
normale... Malware a 32 bit? :-)

 Posso togliere l'ultimo antimalwarebytes e lasciare defender che non rileva nulla?
 
Quello significherebbe nascondere la polvere sotto il tappeto.
MB fa bene ad avvisarti, anche se alla fine il tutto dovesse
 rivelarsi un falso positivo.
 
Scarica su quella macchina la suite di SysInternals (è roba
 Microsoft) e vedi
con TCPview prima di tutto che cos'è davvero che cerca di
 connettersi a quel sito.
E a vedere, oltre l'IP, quale sito in effetti sta cercando. Il
 fatto che un reverse ip lookup
non trovi niente mi puzza un po', in questa situazione.
(Sono dal cell e potrei aver toppato io qualcosa, però.)
 
Poi con Process Explorer vedi se ci sono programmi o servizi sospetti.
Fruga nelle impostazioni del firewall e guarda se c'è qualche programma
col permesso di uscire su internet che non hai dato tu.
 
Fai un giro con qualche scanner online su quel disco.
 
Bye, G.
 
 
----Android NewsGroup Reader----
http://usenet.sinaapp.com/
 

 videosorveglianza ispyconnect, non fa altro.
 
... che TU sappia; ma NON sai se quella macchina sia stata in qualche
modo compromessa e se, attualmente, ci stia "girando" anche roba della
quale tu non sei a conoscenza; dai retta al papero e passa il sistema
ai raggi-X ammodino, anzi, personalmente farei un giro anche con un
"rescue CD", tanto per stare sul sicuro; se invece non te ne frega
nulla e ti basta evitare (per il momento) scassamenti di balle, fai
finta di nulla, ma ... occhio, prima o poi potrebbe saltare fuori il
casino GROSSO ed a quel punto non potrai far finta di nulla :P
 
 
 

 con 185.170.43.95 utilizzando porte random. 
 
https://www.nirsoft.net/utils/shexview.html
 
 
https://docs.microsoft.com/en-us/sysinternals/downloads/autoruns
 
 
entrambi da eseguire come amministratore, il primo ti mostra le
"estensioni" caricate da explorer, il secondo ti fa vedere cosa viene
avviato in automatico; entrambi permettono di disattivare le voci che
non si desidera vengano caricate/avviate ma, se ne trovi, credo sia
opportuno dare una passata "al pettine fitto" all'intero sistema, dato
che, di norma, sono indice di compromissione e questo significa che
potrebbe esserci *altro* su quel sistema
 
 
 
 

  connettersi a quel sito.
 
ammesso che ci riesca, 185.170.43.95 è il C&C di una botnet :P
 


Ieri l'avviso ciclico è passato da "Exploit" a "Trojan" e poi alle 18:39 ha finito di rompere 
https://i.postimg.cc/cCNTHkqK/risolto.png
 e non è più comparso. 
Lo strano è che malwarebytes trovasse qualcosa e poi non facesse nulla. 
Forse lo fanno per farti comprare la versione a pagamento. 
Allarme rientrato.

 Allarme rientrato.
 
Ma anche no.
Ricorda che è il *tuo* PC[1] che cercava di connettersi a quel sito,
e dovresti chiederti il perché. Rileggi bene le parole di Obi, lì
 sopra.
 
 
[1] o qualche altra macchina in rete che usa quel PC, o un altro
apparato, perfino una delle telecamere... che di buchi ne hanno, eh.


  sopra.
 
Evito di aggiungere altro, credo si tratti di uno di quelli che
preferiscono far finta di nulla anche se la macchina è un "bot"
compromessa sino al midollo... vedremo cosa succederà quando (e non
SE) qualcuno riprenderà il controllo della botnet
 
Bah, certa gente dovrebbe andare a raccogliere le patate invece di
gestire dei sistemi informatici
 
 
 

 apparato, perfino una delle telecamere... che di buchi ne hanno, eh.
 
Telecamere quindi analogiche, sono di sicuro quelle: dovrò mettere un filtro sul BNC!

 gestire dei sistemi informatici.
 
Gli antivirus non trovano nulla cosa devo fare, mettermi a scriverli io? 
Il locale è chiuso, la videosorveglianza funziona da dentro e da fuori, sabato ho l'aereo per la Florida e li di patate ce ne sono tante, cosa dovrei fare ancora per compiacerti?
 

 Telecamere quindi analogiche
 
Quel "quindi", che vorrebbe indicare una consequenzialità,
è sbagliato.
Siamo nel 2018, le telecamere analogiche sono obsolete e
pochissimo diffuse. In altre parole siete rimasti tu e
quelli del Ruanda Burundi a usarle. Se tu non lo dici che
sei rimasto a trent'anni fa, uno parte dal presupposto
che si tratti di normali telecamere IP.
 
Bye, G.

 che si tratti di normali telecamere IP.
 
Si chiamano IPcam quelle, e poi mi raccontano siano piene di botnet, quindi faccio bene io a non usarle; e considerando poi che una singola IPCAM con le prestazioni (fps veri e stabili, buio, velocità) di una telecamera costa quanto lo stipendio di un vigilantes privato ruandese mi sa che il coglione non sono ancora io.
https://www.amazon.it/Abus-TVVR95000-PCIe-Scheda-videosorveglianza/dp/B0094FYNOG
 
Ciao.

 cosa devo fare, mettermi a scriverli
 
Mi sembra che nessuno ti abbia chiesto una cosa del genere, ma se la
supponenza che mostri è il tuo abituale atteggiamento e se la
faciloneria che hai dimostrato (nel thread) fa parte del tuo approccio
all'informatica (o a qualsiasi altra cosa) allora... buona fortuna
 
 

 l'italiano?
 
Si certo, con le telecamere analogiche; manco i Sumeri le usano più,
mi sa che ci sei rimasto tu, e se tanto mi da tanto, immagino cosa
possano essere quelle che tu chiami "videosorveglianza" e "sala
server", specie leggendo quello che hai scritto in questo thread; ad
ogni modo, se ti piace cercare di vivere momenti interessanti, sono
affari tuoi; buon divertimento.
 
Bah :P !
 

 all'informatica (o a qualsiasi altra cosa) allora... buona fortuna
 
Mi pare assurdo che su una macchina che fa solo da videosorveglianza, che la accendo 4 mesi all'anno, che non la usa nessuno dato che non ha nemmeno monitor e tastiera, mi segnali un virus solo dopo che faccio l'aggiornamento "consigliato" di Malwarebytes e che Malwarebytes lo trovi ma non lo risolva.
 


Ma quale sala server d'egitto, è una macchina, una, 1, che fa da videosorveglianza e mi manda gli avvisi sul cellulare quando si muove qualcosa attorno alle mie proprietà.

 ho provato Bitdefender online scanner,
 
non servono a nulla, se il sistema è compromesso
 
 
https://support.kaspersky.com/viruses/krd18
 
 
https://www.eset.com/int/support/sysrescue/
 
 
https://support.microsoft.com/en-us/help/17466/windows-defender-offline-help-protect-my-pc
 
 
https://www.avira.com/en/support-download-avira-antivir-rescue-system%20
 
 
devi usare un computer *sicuramente* PULITO, scaricare una (o più) ISO,
masterizzare la/le ISO su uno (o più) CD, e poi usare il (uno dei) CD
per avviare il sistema sospetto e procedere con la scansione avendo il
sistema operativo inattivo e quindi, il malware inattivo.
 
Considera che il malware potrebbe essere su quel computer, su un altro,
su una webcam o addirittura nel router
 
Per il resto, visto l'atteggiamento, ti auguro di vivere momenti
interessanti; detto ciò ti saluto perchè ho un vecchio amico per cena e
devo preparare tutto perbene (semicit.)
 

 devo preparare tutto perbene (semicit.)
 
Grazie.
 

 qualcosa attorno alle mie proprietà.
 
Ok. Fai un bel respiro e calmati.
Il fatto é che sei un poco "ermetico" e si fa fatica a capire.
 
Dunque hai 5 cam analogiche connesse ad un pc in cui gira ispyconnect.
Malwarebyte (scaricato dal sito ufficiale, spero!) ti ha dato degli allarmi ed
ora ha smesso. Ha smesso perché tu o malwarebyte ha bloccato quella
connessione. Questo é un bene, per ora.
 
Gli antivirus che hai usato, li hai aggiornati prima di fare la scansione?
Per connettere le cam al pc, hai una interfaccia particolare?
O quel pc é dotato di ingressi bnc per cam analogiche?
Che cam sono (marca e modello).
Come accedi alle cam col telefonino da fuori casa?
Dato che posti da un ip dinamico, hai un account dyndns o simile, o ti appoggi
al server cloud del programma?
Ha dovuto aprire porte sul router? Hai abilitata la gestione remota del
router? Domanda banale ed ovvia, ma necessaria, hai inpostato una password
sicura sul router e nell'accesso al programma?
Descrivi un po' come é fatta la rete.
Posta una schermata di process explorer (lo scarichi dal sito microsoft
sysinternals, dove ti ha detto Obi riguardo autoruns, alcuni messaggi fa).
Posta anche una schermata del comando dos:
netstat /tuan
Magari si risce a capire qualcosa, e se sei veramente impestato.
 
 

 Burundi?
 
La violenza verbale di solito maschera l'ignoranza, e nel tuo caso, la
cosa è palese; guarda, voglio essere buono e ti fornisco un link
 
https://rufus.akeo.ie/
 
 
se capisci, bene, altrimenti buona serata
 

 se capisci, bene, altrimenti buona serata
 
Bene, come riapre la funivia vado su a fare un test con l'usb.
 

 Magari si riesce a capire qualcosa, e se sei veramente impestato.
 
Ok, quando rientro dalle ferie a Dicembre, faccio un bel formattone così siamo tutti contenti.
 

morand...@gmail.com
 in data 19:35, mercoledì 10 ottobre 2018, nel gruppo

Dunque, hai un computer con una chiavetta internet (il modem usb Huawei 3372h
é una chiavetta internet) connessa assieme al computer direttamente ad
internet, col telefonino ti connetti in internet al cloud di ispyconnect, a
Redmond negli Stati Uniti che ti ritrasmette le immagini sempre tramite
internet delle tue cam, non hai antivirus salvo il blando malwarebyte, che ha
fatto il suo lavoro, non dici se hai mai aggiornato il computer, non dici se
hai mai aggiornato windows defender (ammesso che sia vivo e non sia stato
zombizzato da qualche malware) e che é comunque disattivato in favore di
malwarebyte, hai fatto scansioni online dell'unico programma che non c'entra
un emerito cazzo al tuo problema (explorer.exe é una vittima richiamata da
qualche cosa), non fai scansioni antivirus del sistema, riesci a vedere che
malwarebyte vuole aggiornarsi e dici che quel computer é senza tastiera e
senza monitor (lo dici tu in un post precedente, ma magari li colleghi quando
lo riaccendi), non vuoi fare controlli con un tool microsoft (process
explorer), non riesci a far funzionare un comando di sistema presente in
tutte le versioni di windows da windows95...
 

 tutte le versioni di windows da windows95...
 
C:\Users\Marmolada.DELL>netstat /tuan
Visualizza statistiche relative ai protocolli e informazioni sulle
connessioni di rete TCP/IP correnti.
NETSTAT [-a] [-b] [-e] [-f] [-n] [-o] [-p proto] [-r] [-s] [-x] [-t] [interval]
 
esce l'help dunque e non funziona. 
 
Poi so anche cucinare i canederli di speck, di formaggio, di fegato, di spinaci, in brodo e al ragu di cervo.

 
 
Ora ricordo perche' ti ho plonkato su altri NG,PLONK.
 

 Bene, come riapre la funivia vado su a fare un test con l'usb.
 
Ricordati di portare su un monitor ed una tastiera :P ad ogni modo,
considera che tutto l'ambaradan potrebbe durare parecchio e che ti
converrà passare almeno due chiavette USB con sopra i relativi
"recovery" (accertati che funzionino ossia prova ad usarli per avviare
un altro PC prima di andar su)
 
Un'altra cosa, stavo leggendo come è connesso il PC ad internet, ossia
con una "chiavetta" direttamente connessa al PC, non che la cosa sia
vietata, ma in tal caso, SPERO che per lo meno il windows firewall sia
attivo, in caso contrario quel PC è probabilmente un "porto di
mare" (cit. dal Trentino); sarebbe opportuno valutare l'idea di usare
un router che accetti una "chiavetta USB" come connessione WAN, ad
esempio (giusto uno, ne esistono moooolti altri, ma quello sotto ha di
bello che la WiFi può essere disattivata con un INTERRUTTORE)
 
https://www.tp-link.com/il/products/details/TD-W8970.html
 
 
a questo punto, la chiavetta sarebbe inserita nella porta del router,
mentre il PC sarebbe connesso tramite un normale cavo CAT-5, il
vantaggio di tale configurazione è quello di avere un firewall separato
dal PC che blocchi il traffico indesiderato in ingresso/uscita, in tal
modo, ammesso di aver impostato una password decente per l'interfaccia
admin del router (che so, "Tan più saorì l rodòsa l vent" <grin> !) e
delle opportune regole di port forwarding (e port blocking) credo
potrai essere MOLTO più tranquillo... ma prima è necessario che tu ti
accerti che il computer sia PULITO e, per farlo, devi partire dall'idea
che lo stesso sia stato compromesso e, di conseguenza, NON affidabile,
quindi per effettuare il controllo dovrai usare  un (o più) "Rescue
CD" (o relative chiavette USB) poi, ci mancherebbe, il sistema è tuo,
quindi, fai pure come ti pare però, a quel punto, assumiti le tue
responsabilità
 

 mare" 
 
Hai letto che ho una connessione con IP privatissimo del modem cellulare, di quelle che non si capisce dove sei e non riesci ad accedere dall'esterno nemmeno con dyndns? Allora chi caspita è che dovrebbe riuscire a collegarsi dall'esterno? Comunque se ti fa sentire più tranquillo di firewall ne ho due, quello di windows7 e quello interno al modem huawei configurabile tramite l'interfaccia hilink.


Io non ricordo di aver mai scritto a te, chi sei?

 Hai letto che ho una connessione con IP privatissimo del modem cellulare, di quelle che non si capisce dove sei e non riesci ad accedere dall'esterno nemmeno con dyndns? Allora chi caspita č che dovrebbe riuscire a collegarsi dall'esterno? Comunque se ti fa sentire piů tranquillo di firewall ne ho due, quello di windows7 e quello interno al modem huawei configurabile tramite l'interfaccia hilink.
 
Senti, ma...
 
 
 
 
 
 
 
 
...no, niente. Lascia stare.


 ...no, niente. Lascia stare.
 
Infatti, mi sa che non  riesce a capire; vabbè, io ci ho provato;
affari suoi
 
 


Se non leggete non è colpa mia: 



La rete cellulare affida indirizzi ip privati di tipo 10.xx.xx.xx ai vari utenti mentre da fuori c'è 187.56.78.22, non si riesce a raggiungere se non hai un sistema appoggiato sul server esterno cloud, sei tu che non sai, altro che riuscire a capire. E' il mio computer che si collega al cloud e sono io che mi collego al cloud, solo così riusciamo a "parlarci". Scusa, devo pagare un abbonamento sul server ispyconnect per poter raggiungere quel pc da fuori, altrimenti continuavo ad usare il software della scheda DVR gratuito e continuavo ad aprire le porte sui firewall.
 

 E' il mio computer che si collega al cloud e al C&C di una botnet.
 
Ci arrivi cosě?


 Ci arrivi così?
 
Mah, da quanto ha scritto, credo che sia contento così :P
 

Spero sia solo un esempio :-D
 
E invece no, gli indirizzi ip pubblici sono terminati e i gestori
nattano alla grandissima. 
Con TIM ero riuscito a farmi dare su una sim un ip pubblico nel 2016
ma poi me l'hanno tolto. 
Ma il passaggio ad IP6 non si potrebbe fare?

 nattano alla grandissima. 
 
Ah ecco, quindi...
 
https://www.db-ip.com/all/187.56.78
 
 
LOL !
 

LOL !
 
Non so cosa trovi da rider, e' un ip pubblico appunto. E in piů
aggiungo che gli ip privati mobili hanno la ip isolation. Perciň
dall'esterno (pubblico) non sei instradabile e pure da dentro alla
rete nattata (privato).


https://www.tp-link.com/il/products/details/TD-W8970.html
 
 
Dato che hai un tdw8970 potresti testare il nat upnp?
 
http://www.junegillespie.plus.com/UPnPTest.exe
 come admin. Grazie


...tutti in ferie?

 ...tutti in ferie?
 
non credo, solo che probabilmente NON siamo interessati alla cosa; ho
sottomano un 8970 anche io, ma... a parte il fatto che ho disattivato
UPnP perchè è una monnezza, non ho alcuna intenzione di far girare un
qualsivoglia exe che, per carità, sarà anche pulitissimo, ma non mi
serve assolutamente, per cui, se cerchi informazioni che *esulano* da
quello che è l'argomento di questo thread, evita di postare OT ed apri
un altro thread
 
 
 
 

un altro thread
 
Il 3d " Upnp " del 22/10 nun va? Devo farne n'altro? 
Visto che devo aprire porte a random l'unica è attivare il upnp o
passare al DMZ. Vado di DMZ sul Tiscali?

 un altro PC prima di andar su)
 
Rieccomni, tutto bene? 
Il questi mesi il server ha sempre funzionato. 
Adesso ho preparato tutto come hai detto, ho fatto il test USB offline con Kasperscky krd.iso e con eset_sysrescue_live_enu.iso, non ha trovato nulla. 
Con s.o. attivo ho fatto un passaggio anche con combofix, che mi hanno detto che è buono, e pure quello non ha trovato nulla. 
Non credo di dover fare altro, giusto?