Newsgroup: it.comp.os.win.xp
Titolo: questione "cazzuta" su NTFS

Salve a tutti.
Cerchero' di essere conciso e vi chiedo di darmi attenzione cosi' se
mi sapete aiutare mi togliete un bel sasso dalla scarpa. Se, invece,
non potete farlo, seguendo il thread forse un giorno vi risparmierete
grandi ore di maledizioni... :-)))
Un po' di tempo fa, il solito PC si becca il solito virus. Non ricordo
come, identifico il problema nel file \windows\system32\xxx.exe. Vado
a cercarlo: non c'e' ! Chiaramente mi preoccupo di verificare che
tutti i file (nascosti, sistema, ecc.) siano visibili: nisba ! C'e' ma
non si vede. La cosa e' provata anche dal fatto che se cerco di creare
un file nella stessa posizione e con lo stesso nome mi viene detto che
non posso crearlo.
L'unico modo per vedere il file e cancellarlo e' stato quello di
avviare il PC con il cd di windows in modalita' consolle di
ripristino.
In questi giorni e' successa una cosa simile o, addirittura, piu'
strana. Un server 2000 e' stato "bucato" (virgolette perche' non metto
la mano sul fuoco sulle dichiarazioni del cliente) e si e' trovato
installato il programma Serv-U, un server FTP che mette a disposizione
il server al mondo, sia per l'up che per il down.
In questo caso ogni file/cartella che inizi per "ftp" e' diventato
invisibile, compresi quindi ftproot, ftp.exe, ecc.
Ripeto "invisibile" perche' questi ci sono ("md ftproot" da' un
errore, "md pippo" no...) ma non sono visibili dall'esplora risorse,
dal prompt dei comandi e tantomeno dalle applicazioni con conseguenti
errori.
La domanda e': esiste qualche attributo "esteso" oltre a quelli
convenzionali per i file/cartelle residenti su NTFS per determinare
questo comportamento ?
O, peggio ancora, e' possibile che un virus o roba del genere sia
intervenuto direttamente sul driver del filesystem imponendogli di
filtrare, e di conseguenza non rendere disponibili, determinati
pattern nei nomi file/cartelle ?
Grazie a chi mi aiuta
P

 del genere sia intervenuto direttamente sul [...]
Puzza di rootkit (definizione: 
http://it.wikipedia.org/wiki/Rootkit
).
Fai una bella scansione con hijackthis (tool
gratuito ora acquisito da trendmicro, ma sempre
gratuito) verifica i risultati (che verranno
salvati su un file di testo) facendone l'upload
su 
www.hijackthis.de
, e magari fai un bel controllo
anche con rootkitrevealer di sysinternals (ora
acquisita da M$).
http://www.trendsecure.com/portal/en-US/threat_analytics/hijackthis.php
http://www.hijackthis.de
http://www.microsoft.com/technet/sysinternals/utilities/RootkitRevealer.mspx
Quando avrai fatto ciň, risultati alla mano,
posta nuovamente su:
  it.comp.sicurezza.virus
E' il newgroup piů adatto.

Puzza di rootkit (definizione: 
http://it.wikipedia.org/wiki/Rootkit
).
Ho preferito far reinstallare il server per evitare di girare in tondo
per un tempo indefinito per cui non ho la possibilita' di verificare
quello che tu dici.
Hai per caso dettagli piu' specifici riguardo al xxxware che determina
comportamenti del tipo che ho descritto ? Solo per cultura
personale...
Ciao e grazie.
P

 > Già che ci sei, dato che l'hai postato anche su
[CUT]
...pignoleria per pignoleria, impara a quotare...
http://wiki.news.nic.it/QuotarBene


 > Newsgroups: 
it.comp.os.win.win2000,it.comp.sicurezza.windows,it.comp.os.win.xp
Lo ammetto, sono colpevole (avevo mandato per errore la risposta al 
gruppo sbagliato)! Ma, per fortuna, sono in buona compagnia...


X-No-Archive: yes
X-Newsreader: Version: 1.5.12 release 20020311 ("Castor Rosicky") Jun 22 
2003 02:49:22
User-Agent: castorin/1.5.12-20020311 ("Castor Rosicky") (UNIX) 
(Linux/2.12.65 (i686))
X-Face: 
)1p%B0XH8M>.uGRQ/Z]s9PIHuGVi19DhV9UI``E_Tkx9b}tgxZry6omIx=X:E^;wz=tS:hJ
 
,&sffkSpfX]dreztmYAq#vp{IAv)g3-b<}TS`h?{lC=g%m+5/e&h[kA"q|"r;514E\[aFK1?y;P!eh
 
*d$a{z`*$ioTjqQ|*oEs&4;ob[$%|;\EUyj`.*{dx=}`j71y[H?&)GG0D]adoF,n1{5Qe_MpyG`qke
  qz2O-0~9p.Nbg~;EAQw{Lf]r@2tv/IdY*TM]:?KH8w;68ZL|&Oox%{PTm?WWI'cmV=wS%9\u6k
Xref: 
news.tiscali.it
 it.comp.os.win.win2000:170202 
it.comp.sicurezza.windows:79156 it.comp.os.win.xp:215123
In un messaggio del Sun, 18 Mar 2007 09:56:19 GMT pialla scriveva:
 > Salve a tutti.
 > Cerchero' di essere conciso e vi chiedo di darmi attenzione cosi' se
 > mi sapete aiutare mi togliete un bel sasso dalla scarpa. Se, invece,
 > non potete farlo, seguendo il thread forse un giorno vi risparmierete
 > grandi ore di maledizioni... :-)))
Già che ci sei, dato che l'hai postato anche su it.comp.os.win.xp e
it.comp.sicurezza.windows (o .varie, non ricordo) potevi postarlo anche
su it.hobby.cucina, it.fan.britneyspears, magari lo legge qualcuno in
più.
 > Un po' di tempo fa, il solito PC si becca il solito virus. Non ricordo
 > come, identifico il problema nel file \windows\system32\xxx.exe. Vado
 > a cercarlo: non c'e' ! Chiaramente mi preoccupo di verificare che
 > tutti i file (nascosti, sistema, ecc.) siano visibili: nisba ! C'e' ma
 > non si vede. La cosa e' provata anche dal fatto che se cerco di creare
 > un file nella stessa posizione e con lo stesso nome mi viene detto che
 > non posso crearlo.
 > L'unico modo per vedere il file e cancellarlo e' stato quello di
 > avviare il PC con il cd di windows in modalita' consolle di
 > ripristino.
 > In questi giorni e' successa una cosa simile o, addirittura, piu'
 > strana. Un server 2000 e' stato "bucato" (virgolette perche' non metto
 > la mano sul fuoco sulle dichiarazioni del cliente) e si e' trovato
 > installato il programma Serv-U, un server FTP che mette a disposizione
 > il server al mondo, sia per l'up che per il down.
 > In questo caso ogni file/cartella che inizi per "ftp" e' diventato
 > invisibile, compresi quindi ftproot, ftp.exe, ecc.
 > Ripeto "invisibile" perche' questi ci sono ("md ftproot" da' un
 > errore, "md pippo" no...) ma non sono visibili dall'esplora risorse,
 > dal prompt dei comandi e tantomeno dalle applicazioni con conseguenti
 > errori.
 > La domanda e': esiste qualche attributo "esteso" oltre a quelli
 > convenzionali per i file/cartelle residenti su NTFS per determinare
 > questo comportamento ?
 > O, peggio ancora, e' possibile che un virus o roba del genere sia
 > intervenuto direttamente sul driver del filesystem imponendogli di
 > filtrare, e di conseguenza non rendere disponibili, determinati
 > pattern nei nomi file/cartelle ?
 > Grazie a chi mi aiuta
 > P
-- 
Pierluigi De Rosa (
tho...@moria.khazad-dum.net
).
<<      LINUX: the choice of a GNU generation     >>
<<   For my real address... ask the Balrog.       >>
* Sostenete la Lega per la Soppressione dei Troll *

Sai che stai diventando noioso? 
Passano gli anni , le persone ..... ma i coglioni come te rimangono
tali e quali . Prendersi il tempo di dare risposte solo polemiche
facendo il professore del cazzo e poi quotando alla cazzo di cane la
dice tutta sul tuo modo di presentarti . 
Ovviamente per chi non ti conosce e non sa che il flame era e rimane
il tuo pane quotidiano  .

Hai detto qualcosa, 
Come volevasi dimostrare .... .
Il fatto che plonki mica cambia la sostanza .
Credi che vivendo nella merda fino al collo basta chiudere porte e
finestre perche gli altri non sentano la puzza ?

 personale...
Ti rispondo con un link:
http://www.securityfocus.com/infocus/1850