Newsgroup: it.comp.os.win.xp
Titolo: Sono quello del Virus

All'avvio Symantec mi contiua a segnalare " Trojan.Adclicker " presente nel 
file "svchost.dll", nella posizione C:\WINDOWS\, sempre eliminato ma mai 
definitivamente visto che si ripresenta.
Ho fatto come mi è stato detto e ho seguito le istruzioni del link
http://www.symantec.com:80/security_response/writeup.jsp?docid=2002-091214-5754-99&tabid=3
Ma se la soluzione è da trovare nel registro di windows, beh, non so propria 
quale sia la voce anomala o che comunque va a richiamare il virus.
Ecco gli screenshot:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
http://snipurl.com/1qwbi
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
http://snipurl.com/1qwbk
Che sia quell' "nwiz.exe"?
Non so proprio che fare. 

President ha scritto:

Non c'è nessuna voce che possa essere il virus. Nwiz è 
l'applicazione della scheda video Nvidia
-- 
Postato da Alice Newsgroup: lo usi da web ma con le funzioni del newsreader 
http://newsgroup.alice.it
Gerarchie it, italia, it-alt, tin, it.binari. Unico!

 l'applicazione della scheda video Nvidia
Quindi da dove salta fuori?
Ogni volta che riavvio me ne segnala puntualmente 2
Vorrei provare con Adaware ma non vorrei sprecare mb inutili (per pochi che 
siano) 

 quale sia la voce anomala o che comunque va a richiamare il virus.
Le chiavi del registro implicate nell'avvio automatico sono ben piů che le
due che hai indicato, vedi ad esempio:
http://windowsxp.mvps.org/Startup.htm
Con autoruns puoi darci una occhiata in maniera ben piů agevole e con piů
informazioni:
http://www.microsoft.com/technet/sysinternals/Utilities/AutoRuns.mspx
Si lo so: che OO, č una gran brutta vita...
-- 
Ciao, Guglielmo.

 
http://www.symantec.com:80/security_response/writeup.jsp?docid=2002-091214-5754-99&tabid=3
Hai eliminato un sintomo, ma non l'infezione principale.
Ci sono alcuni virus e rootkit che scaricano anche quella componente.
Sia il virus dell'autorun che i vari rootkit si nascondono, pertanto
non li vedi con le normali procedure di windows.
Prova a sguinzagliargli contro rootkit revealer di sysinternals (ora
microsoft), o combofix.
-- 
           |Save our planet!
    Ciao   |Save wildlife!
   roberto |For your E-MAIL use ONLY recycled Bytes  !!
           |roberto poggi   
rpo...@softhome.net


Ho provato con Rootkit. A parte i cookie e i file temporanei di internet ci 
sono queste due voci che non risco a decifrare:
HKLM\SECURITY\Policy\Secrets\SAC*
HKLM\SECURITY\Policy\Secrets\SAI*
Entrambi con:
Size 0 bytes
Description: Key name contains embedded nulls 

 
[*] Non mi assumo nessuna responsabilita' se qualche altro software
poi non funzionasse piu'.
Ma se qualcuno fa software che necessita di file nascosti tra i
temporanei di ie per funzionare, si merita una denuncia. ;-)


President ha scritto:

La vedi in C: la cartella System Volume Information? Puoi 
accedervi? Se no, trovati da qualche parte le istruzioni per 
vederla ed accedervi. Poi cancella tutte le cartelle che ci sono 
dentro, tanto se sono infetti è inutile che tieni i punti di 
ripristino; oppure vedi tu se preferisci cancellare solo quelle 
più recenti e poi procedere all'indietro finchè riavviando il 
virus non appare più. Dovrebbe essere lì se riappare 
regolarmente. Se non avevi l'accesso a quella cartella è 
possibile che anche il tuo antivirus non l'avesse e che quindi 
non trovasse la sua collocazione sorgente; a quella cartella può 
accedere solo il systema e non è detto che le funzioni 
dell'antivirus siano tutte di systema.


 temporanei di ie per funzionare, si merita una denuncia. ;-)
A me sembra tutto strano. Non ci sono voci anomale e questo pc lo uso 
prettamente per lavoro e apro pagine web conosciute.
Secondo me c'è qualche script inserito in qualche pagina html, che utilizza 
dei codici non troppo legali.
Un altro giorno è passato e mi sa che questa grana me la porterò dietro per 
molto tempo. 

 dentro, tanto se sono infetti č inutile che tieni i punti di
In C:\System non ho assolutamente nulla,nemmeno di nascosto
Ho cercato con msconfig di vedere se posso andare a vedere tutti i punti di 
ripristino che ho (se li ho) ma non vedo nessuna voce.

 
ma la apri la cartella System.... o semplicemente dice che la 
cartella è vuota quando ci vai sopra col cursore?


 dei codici non troppo legali.
Secondo me invece hai un rootkit bastardo, e/o poca esperienza per
trovarlo.
Di dove sei? per il solo costo di un caffe' in compagnia :-) , se sei
vicino, mi piacerebbe dare una occhiata a quella macchina.



BitDefender 2008 Rescue CD
http://download.bitdefender.com/resc...escueCD_v2.iso
488.0 MB (511,690,752 bytes)
E' una versione live di linux, incorpora un antiviru con la
possibilità di scrivere su tutti i file system, NTFS compreso.
Avvi il pc con quel cd e da linux fai una scansione, qualunque roba tu
abbia non avrà modo di difendersi perché non si è caricata in fase di
avvio.
Il Panca

BitDefender 2008 Rescue CD
Mannaggia alla fretta ho inviato un link sbagliato, ecco quello
giusto:
http://download.bitdefender.com/rescue_cd/bitdefender_2008_RescueCD_v2.iso

 cartella č vuota quando ci vai sopra col cursore?
In System ho solo 2kb di un file di un log di installazione e niente piů 

 
OK. Non hai il ripristino configurazione del sistema attivato. 
Il virus non è li.


 
Visto il nome la chiave di registro che cerchi potrebbe essere 
in una delle sottochiavi in questa chiave; ESTREMA PRUDENZA
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services


 
 Un altra possibile directory è questa
C:\Documents and Settings\UTENTE\Impostazioni locali\Temporary 
Internet Files\Content.IE5
Cambia UTENTE col tuo Utente e copia incolla nella barra 
dell'indirizzo di una cartella qualsiasi->Vai, od in Esegui; 
Con internet explorer chiuso. Le cartelle le puoi gettare tutte, 
se ci riesci. Quelle che non riesci aprile e getta tutto quello 
che puoi. E vedi che non rimangano degli EXE dei COM o roba come 
INSTALL, LOADER....potrebbero essere loro il virus. Dovrai 
trovare il modo di gettarli; Se non l'hai vedi di procurarti 
Unlocker



Domani provo e ti faccio sapere 

 Unlocker
Ho fatto coem mi hai indicato. Ho eliminato tutto quanto e mi ü rimasto solo 
un .exe che non se ne voleva andare, così l'ho rinominato con OLD. Ho 
riavviato ma il virus è stato segnalato ugualmente
Boh! 

President ha scritto:

Mi piacerebbe sapere come si chiama quell'exe che hai rinominato.
Per quanto riguarda la cartella Temp della quali parli 
nell'altro post, la puoi svuotare, come puoi svuotare tutte le 
cartelle temp in C:\Documents and Settings. Ma ne esiste 
un'altra C:\WINDOWS\Temp. Nella quale potresti andare a vedere 
anche per il virus. Lo svuotamento di questa non è così limpido 
come per le precedenti per è meglio che stai attento; svuota a 
gruppi, facendo delle copie. 
A me i nomi svchost.dll ed Adclicker non sembrano nuovi; mi 
accendono un lumicino nella memoria; ma non abbastanza forte da 
poterla illuminare. Io faccio per Hobby assistenza a diversi 
amici e sono sicuro di avere già incontrato, e debellato questo 
virus nel Pc di un qualche amico. La cosa che mi viene da 
pensare è che sia stato nel PC di un amico che è sempre connesso 
ad internet con router, per cui come accende il PC è subito 
connesso e quel svchost.dll viene scaricato da internet da un 
exe, che si trova nei temp od è installato fra i Programmi. 
Se anche tu sei dietro un router, staccati prima di riavviare 
dopo avere cancellato Svchost.dll. e verifica se lo trovi 
nuovamente nel PC. Se non c'è più cerca nei temp o nei programmi 
l'exe che lo scaricava. Per verificare se è nei temp,svuota 
tutte le cartelle dei files temp poi riavvia e controlla che 
cosa ci trovi. Poi vedi di scoprire, che cosa riguardano. Per 
rendere più facile la cosa potresti disabilitare temporaneamente 
tutti gli avvii automatici che puoi. Verifica anche tutte le 
cartelle dei programmi installati e se non ti ricordi di averli 
installati o non sai che cosa sono vedi di scoprirlo con google.
Ti ci vorrenbbe anche un task manager un po' più di quello di XP,
cerca e scarica Process explorer, che è gratuito e mi sembra che 
ora sia della microsoft.
