Newsgroup: it.comp.os.win.xp
Titolo: virus parzialmente eleiminato?

Vorrei sottoporre al gruppo il due problemi il primo indicato nel presente 
e-mail riguarda un attacco virus e nel successivo uno concernente le 
periferiche usb.
Per il primo caso purtroppo ho aperto l'allegato di un e-mail credendolo, 
erroneamente, sicuro e Norton ha rilevato i seguenti virus:
-         Backdoor.IRC.Aladinz.R
-         Hacktool
negli eseguibili services.exe e csrss.exe credo creati dal programma da me 
aperto nella directory C:\windows\system\driver.
Rieffettuando una scansione completa del sistema è stato rilevato nuovamente 
come Hacktool anche il file ntsvr.exe presente nella stessa cartella. 
Sembrerebbe essere andato tutto a posto ma dopo questo fatto, ed non era mai 
successo in precedenza, un file eseguibile ntuser.exe presente sempre nella 
stessa cartella cerca di accedere alle "risorse di rete" mettendosi in 
"ascolto" della porta TCP 113 o 131 (al momento non ricordo esattamente) 
come rilevato da zoneallarm.
Quello che vorrei sottoporvi sono i seguenti punti:
1) I file csrss.exe ed services.exe sono file di sistema di XP, ma che mi 
risulta essere solitamente allocati nella directory windows\system32 e per 
quello che mi è dato sapere services.exe non dovrebbe nemmeno essere 
richiamato all'avvio di XP. Quindi posso tranquillamente eliminare dalla 
quarantena di norton questi programmi, e ritenere che quelli buoni siano i 
csrss.exe e services.exe presenti in windows\system32?
2) Purtroppo non conosco le funzioni dei file ntsvr.exe e ntuser.exe, sono 
eseguibili di XP? Per il primo la copia esistente in 
C:\windows\system\driver è stata riconosciuta come infettata da un virus 
Hacktool e posta in quarantena per il secondo norton non ha rilevato nulla.
3) Ho il forte sospetto, ma non la certezza, che la directory driver in 
C:\windows\system\driver sia stata creata dal programma infetto che avevo 
inizialmente attivato, in esso risiede l'eseguibile ntuser.exe più vari 
altri files (essenzialmente librerie) che non sono sicuro essere presenti 
anche prima del disastroso evento. Sapete se questa directory è una di 
quelle standard di XP oppure posso eliminarla tranquillamente?
4) D'altro canto scaricando dal sito della norton le caratteristiche della 
Backdoor.IRC.Aladinz.R vi sono alcune incongruenze, ed in particolare dalla 
nota informativa sembrerebbe che questo Trojan crei una directory "CatRoot" 
che nel mio caso non è presente mentre in C:\windows\system\driver vi sono 
alcuni dei files che verrebbero creati in CatRoot (ad esempio cygcrypt.dll e 
cygwin1.dll). Potrebbe essere che mi sia "beccato" una variante di questo 
Trojan? Mi conviene eliminare dalla directory C:\windows\system\driver i 
files che vengono dichiarati essere generati dal virus rilevato da norton?
5) Altro punto è la fastidiosa chiamata all'avvio del programma ntuser.exe 
che va ad aprire una porta tcp (mi sembra la 113 o 131). Io ho agito in due 
direzioni la prima è che con il firewall di zoneallarm ho bloccato l'accesso 
di questo file ai servizi di rete. Successivamente rinominando il file 
medesimo presente in C:\windows\system\driver all'avvio di XP non ho più la 
sua attivazione e nessun messaggio di errore. Queste indicazioni possono 
consentirmi in tutta tranquillità di eliminarlo?
6) L'ultimo punto è che non sono riuscito (guardando con msconfig, sysedit e 
nel registro di  configurazione alle varie chiamate di run) cosa 
richiami/avvii il programma ntuser.exe all'avvio di XP e questo tra l'altro 
mi insospettisce che il file di registro non sia stato correttamente pulito 
dall'antivirus. Come posso identificare cosa avvia al boot iniziale il 
programma in questione e cercare di ripulire il registro di configurazione?
Vi ringrazio della vostra cortese attenzione, e resto in attesa di vostri 
consigli e/o suggerimenti.
Grazie
Max

 ha scritto nel messaggio
news:dm4hn6$d0u$1...@domitilla.aioe.org...


Grazie dei consigli proverň a seguirli,
debbo dirti che da ulteriori analisi (ho l'abitudine di salvare ogni primo 
giorno del mese una copia completa del registro di configurazione e un 
elenco dei files presenti in
windows) sembrebbe che la cartella C:\windows\system\driver ed il suo 
contenuto sia stata creata dal trojan. Per ora ho eliminato il files in 
quarantena in norton e rinominato la cartella di cui sopra.
Questo fatto a conportato che non ho piu' l'esecuzione di
c:\windows\system\driver\nuser che apre la porta TCP 113.
Purtroppo non ho ancora trovato dov'č l'istruzione che lo lancia
Max