Newsgroup: it.comp.os.win.xp
Titolo: fAxwZEdDUNmIPaoY   che directory_utente del cavolo è ?!?!?!?!?

su un pc di un amico mi capita di cancellare ogni volta una 
directory stranissima tale
C:\Documents and Settings\fAxwZEdDUNmIPaoY
dove sotto ci sono i classici
  Cookies
  Dati applicazioni
  Desktop
  Documenti
  Impostazioni locali
  Menu Avvio
  Modelli
  Preferiti
  Recent
  Risorse di rete
  Risorse di stampa
  SendTo
ma l'utente di questa directory non esiste perchè esiste solo 
l'utente guest e l'utente pippo
da dove salta fuori sta diretory_utente !?!?!?!?!
virus non ce ne sono (per il momento)
con hijackthis nun ce sta niente di strano
-- 
imho, bye, thanks, by *K®54*,    la cosa che mi
chiedo è perchè la gente critica uno che spende
*500euro* per un paio di scarpe ma loro di lavorare
di piu' (per permettersi di piu') nohhh ehhh ?!?!?

 Gromozon? Mi pare di ricordare che creava qualcosa del genere, io farei
E' il primo pensiero che mi e' passato per la mente, mnentre un brivido
freddo mi passava giu' per la schiena.
Se hanno fatto una nuova generazione di gromozon, magari un pelino piu'
bastarda di quella dell'anno scorso, ci aspettano tempi grami. :-(
-- 
           |Save our planet!
    Ciao   |Save wildlife!
   roberto |For your E-MAIL use ONLY recycled Bytes  !!
           |roberto poggi   
rpo...@softhome.net

 
Beh, io altri programmi leciti che creano utenti ad ogni avvio su un pc
non ne conosco.
Hai provato anche con combofix?


 
http://tinyurl.com/2h6oz5
ROTFL ... :-D
-- 
Vincenzo Di Russo
Microsoft® MVP - Most Valuable Professional since 2003
Windows Internet Explorer, Windows Desktop Experience & Security
My home: 
http://mvp.support.microsoft.com/
My Blog:  
http://blogs.dotnethell.it/vincent/

 e scanno con antivir
Attento che non sia lui ad inculare te ed anche il PC dell'ufficio :)
Fai le scansioni da cd:
http://www.ubcd4win.com/
-- 
Ciao, Guglielmo.

 pero' quella cazzo di directory continua a ricrearla
Ok, c'e' qualcosa d'altro, hai trovato alcuni componenti ma non ancora
l'infettore principale.
Anche perche' i casi sono due:
il pc del tuo amico e' stato infettato da poco, e probabilmente e' una
nuova famiglia di gromozon (o simili), oppure e' infetto da parecchio,
e l'amico gromozon aveva la bella abitudine di organizzare scampagnate
con diecine e diecine di amici maligni, se lo lasciavi tranquillo.
Io, in questi casi, se il classico formattone non e' praticabile per
vari problemi, (mancanza di driver, di dischi di installazione di vari
programmi, etc.etc.) avvio con un distribuzione live di linux, oppure
con un disco fatto con ubcd4win, comincio a razzolare via tutte le cose
strane:
Tutti i temporanei, compreso il cestino, le directory temporanee di IE,
i dati del sistem restore, la directory sotto document & settings di
quell'utente (in alcune infezioni, non c'era, a macchina spenta), cerco
file con nomi riservati (com4, ltp6, CON, aux, etc.) ...
Poi comincio la caccia ai file modificati in tempi recenti in directory
"sensibili" e li ranzo via (copiandoli, prima, non si sa mai).
Prima di passare a questo, uso un adsspy per eliminare ogni traccia di
alternate data strem dal file system (NTFS, al 99,9%), e con qualche
tool (rootkit revealer, ad esempio) cerco tutte le chiavi di registro
con qualche carattere null nel nome.
Passata di regdellnull per eliminare quelle chiavi.
Oh, ricordati, il mio primo gromozon, senza troppi strumenti a
disposizione, mi ha portato via nove ore filate, ma alla fine ho vinto
io.


 cmq come payload il gromozon non ha niente mi sembra
Ottimista.
Cosa scarichi il gromozon (continuiamo a chiamarlo cosi', ma potrebbe
essere un nuovo bestiolino che ci assomiglia solo) Dio solo lo sa.


Hai controllato se si tratta di un utente nascosto (come lo è ad
esempio Administrator)?
C'è anche la possibilità che il malware sia stato rimosso (ad esempio
da qualche tool usato in precedenza) ma la cartella utente esista
ancora.
Inoltre controlla se qualche servizio è inizializzato da quell'account
(nell'elenco servizio accessibile da services.msc)

.txt e provo a vedere se doppiocliccandoci parte.
Mi pare di avere provato qualche anno fa, ma non partiva.
Magari parte se viene chiamato dal registro (questo non l'avevo
provato).
-- 
Ci sono 10 tipi di persone al mondo: quelle che capiscono il sistema binario
e quelle che non lo capiscono.