Newsgroup: it.comp.os.win.xp
Titolo: Che virus è?

Premetto che ho scansionato l'HD con l'antivirus e parecchi programmi
specifici ma nessuno è riuscito a risolvere il problema.
Si tratta di finestre pubblicitarie che si aprano in
successione a quella da me aperta in precedenza
con explorer.
La cosa strana è che le pubblicità sono attinenti
alla pagina che ho appena aperto.
Ad esempio apro un sito di acquisti abbigliamento
on line  e se ne apre uno concorrente e cosi vale
per tutte le altre categorie.
Ma che virus è?
E' pericoloso o si tratta solo di "sopportare"
questa pubblicità?
Grazie 

 questa pubblicità?
Non mi fiderei, di solito è anche un po' trojan e rischi il phising.

 Probabile un adware quindi prova spybootsearch and destroy o adware2007.
Provati entrambi senza risultati :-(
Ciao


Prova anche:
A2 squared 
http://www.emsisoft.com/en/software/free/
Superantispyware 
http://www.superantispyware.com/
Malwarebytes 
http://www.malwarebytes.org/
Il CD bootable Avira AntiVir Rescue System 
http://www.avira.com/it/support/download_di_supporto.html
AVG da modalità provvisoria 
http://gratis.avg.it/download?prd=afe
Poi fai sapere
Ciao :) 

 Provati entrambi senza risultati :-(
controlla le impostazioni di sicurezza di explorer; eventualmente 
ripristina le impostazioni di default per la zona internet.
Se adware e spybot hanno fallito, prova superantispyware e malwarebytes
Adriano

Grazie per i consigli.
Provo i vari programmi e poi vi faccio sapere.
Ciao :-) 

Provati per ora Superantispyware e Malwarebytes.
Con superantispyware rilevati dei cookie che sono
quelli genarati dalle finestre pubblicitarie che si aprono.
Tipo:faccio scansione e ne rileva 14,poi le elimino navigo
un po e mi si aprano 5 finestre...alla fine rifaccio la scansione
e vengono rilevati 5 cookie.
Insomma non si riesce ad eliminare il problema all'origine.
Comunque non demordo :-)
Oggi e domani provo gli altri programmi e vi tengo informati.
Ciao :-) 

 21:43 testo un po' lungo

 - il newsgroup più in tema sarebbe it.comp.sicurezza.windows,
 anche se poi all'atto pratico non so quanto sia utile. Comunque:
 
 se è quello che penso non è pericoloso ma è invadente, e cerca
 di spaventare l'utente inesperto per indurlo ad accettare certi
 prodotti. E' fondamentalmente un trojan - motore di ricerca tematico
 pubblicitario, che vede ciò a cui ti interessi e ti fa quindi
 arrivare pubblicità in tema, pubblicità magari un po' aggressiva.
 
 Avendolo sotto controllo sarebbe anche interessante, si
 potrebbe utilizzarlo in modo utile... ma non avendolo sotto
 controllo è un tantino fastidioso e rallenta explorer.
 
 Se l'antispyware o l'antivirus lo rileva, cambia nome,
 ma si tratta sempre di una sequenza di cinque lettere.
 
 Potresti averlo ricevuto, per esempio, da un clone modificato
 di un qualche programma che hai scaricato, in genere si
 tratta di programmi multimediali (audio/video/internet).
 
 Per funzionare utilizza (come molti altri programmi, del resto)
 molte delle risorse di windows, quasi tutte .dll, e contiene
 anche una propria istruzione per il boot del computer.
 
 Comunque, per prima cosa smetti temporaneamente di usare
 explorer e usa un altro browser (firefox, safari, opera, ecc.).
 
 
 --- operazioni preliminari ---
 
 Se già non l'avevi fatto, vai in una qualunque cartella e:
 
 Strumenti => Opzioni cartella => Visualizzazione
 
 => e seleziona:
 "Visualizza cartelle e file nascosti"
 
 => e seleziona:
 "Esegui le finestre delle cartelle in un processo separato"
 
 => e seleziona:
 "Memorizza le impostazioni di visualizzazione di ogni cartella"
 
 => e togli la spunta a:
 "Nascondi i file protetti di sistema"
 
 => e togli la spunta a:
 "Nascondi le estensioni per i tipi di file conosciuti"
 (attenzione : con questa impostazione, ogni volta che vorrai
 cambiare il nome di un file dovrai fare attenzione a
 non cancellare insieme ad esso l'estensione. Se lo fai e
 windows ti fa comparire l'avviso, e non ricordi o non sai che
 estensione era, annulla la procedura e rifai. Esempio: hai un
 file di testo pippa.txt e vuoi cambiare il nome in pippo.txt,
 ma per sbaglio cancelli pippa.txt e scrivi solo pippo. Quindi
 windows ti avvisa che modificando l'estensione il file potrà
 diventare inutilizzabile e ti chiede se vuoi rinominarlo ugualmente.
 Tu ovviamente non rinominare, annulla e rifai scrivendo pippo.txt)
 
 => e seleziona:
 "Visualizza il contenuto delle cartelle di sistema"
 
 => e seleziona:
 "Visualizza il percorso completo nella barra degli indirizzi"
 
 => Clicca sul pulsante "Applica a tutte le cartelle"
 
 => Clicca su OK
 
 
 --- operazioni conclusive ---
 
 Vedi se sono presenti questi file (le file di
 x sono lettere, i punti interrogativi ? sono numeri. Le
 prime sequenze di cinque lettere sono il nome comune a tutti):
 
 vedi se nella cartella
 <C:\Documents and Settings\Tuo Nome\Impostazioni locali\Dati applicazioni\>
 
 ci sono questi cinque file:
 
 (applicazione ovvero .exe)
 <C:\Documents and Settings\Tuo Nome\Impostazioni locali\Dati
applicazioni\xxxxx.exe>
 
 (file .dat)
 <C:\Documents and Settings\Tuo Nome\Impostazioni locali\Dati
applicazioni\xxxxx.dat>
 <C:\Documents and Settings\Tuo Nome\Impostazioni locali\Dati
applicazioni\xxxxx_xxxxx.dat>
 <C:\Documents and Settings\Tuo Nome\Impostazioni locali\Dati
applicazioni\xxxxx_xxxxx.dat>
 <C:\Documents and Settings\Tuo Nome\Impostazioni locali\Dati
applicazioni\xxxxx_xxx.dat>
 
 ...e poi se nella cartella
 
 <C:\WINDOWS\Prefetch>
 
 c'è questo file .pf che ripete il nome dell'exe di prima:
 
 <C:\WINDOWS\Prefetch\XXXXX.EXE-??X?XX??.pf>
 
 ---
 
 Se vuoi solo cancellarli, e non intendi conservarne delle
 copie per studiarne il contenuto, ti consiglio di fare così:
 
 In un'altra cartella, per esempio desktop o documenti, con
 il Blocco Note (notepad) fai una copia vuota del file .exe:
 xxxxx.exe (xxxxx indica il nome del file, che io non conosco).
 
 Ovvero, apri una pagina bianca di blocco note, se vuoi lasciala
 bianca oppure scrivici qualcosa, e salvala in una cartella
 (per esempio desktop o documenti) in questo modo : al posto di
 *.txt scrivi il nome del file completo della sua estensione,
 xxxxx.exe, e quindi nel sottostante menu a tendina sostituisci
 "Documento di testo (*.txt)" con "Tutti i file". E quindi salva.
 
 Poi fai la stessa cosa per gli altri quattro file .dat e
 per il file .pf, copiando esattamente il nome di ciascuno
 completo della sua estensione, e facendo la copia fantasma.
 
 Controlla che sia tutto in ordine, e che nomi ed estensioni
 siano copie perfette, a cominciare dalla finta copia .exe .
 
 Quando avrai pronte tutte le copie, spegni temporaneamente
 antivirus e antispyware e comincia a copiare le copie fantasma
 nelle cartelle dei file veri, a cominciare dall'exe.
 
 Windows ti avviserà che quel file esiste già, e ti chiedarà
 se vuoi davvero sostituirlo. Tu quindi conferma.
 
 E dopo l'exe, i .dat e il .pf.
 
 E riattiva antivirus/antispyware.
 
 Alla fine, cancella anche le copie finte che hai
 messo al posto dei file veri (inutile tenerle lì)
 
 ---
 
 Nota : se invece ti venisse in mente di modificare l'estensione
 del file .exe pensando che smetta di funzionare, sappi che
 funzionerà ugualmente anche con l'estensione modificata.
 
 Se provi a cancellare i file .dat prima dell'exe,
 l'exe li creerà di nuovo entro alcuni secondi.
 
 Se non disattivi antispyware/antivirus e questo si accorge del
 malware, non potrai cancellare il malware poiché risulterà in uso,
 per l'appunto sarà l'antispyware/antivirus ad averlo "in uso".
 
 E analogamente, se provi a cancellarlo in un momento
 nel quale sta facendo qualcosa : dovrai aspettare che
 finisca, oppure terminare il processo dal task manager
 
 ---
 
 
 -*_ uniposta(at)
yahoo.it
 -*_ uniposta(at)
gmail.com
 
--------------------------------
Inviato via 
http://arianna.libero.it/usenet/


 
 ---
 
 Fra le operazioni preliminari m'ero dimenticato di elencare
 la disinstallazione del programma d'origine del malware.
 Dovrebbe essere l'ultimo programma installato prima dell'inizio
 delle pubblicità tematiche. L'ultimo, o uno degli ultimi,
 nel caso fossero stati installati più programmi.
 
 Poi, per quanto riguarda la sostituzione dei file con i file
 fantasma appositamente creati, subito dopo il file .exe consiglierei
 di sostituire il file .pf (nell'altra cartella, la prefetch)(*), e
 quindi i quattro file .dat di nuovo nella prima cartella. Ricordo
 che i .dat si possono sostituire anche tutti e quattro insieme,
 selezionando l'intera serie cliccando sul primo e quindi premendo il
 tasto shift (maiuscolo) e contemporaneamente cliccando sull'ultimo.
 
 (*) il file .pf è una specie di centralino, di hub, di nodo strategico,
 e che chiude anche l'anello logico del programma di questo malware.
 
 ---
 
 A proposito della velocità di reazione del malware, questa
 dipende dalla velocità del computer sul quale si trova, e
 dal fatto che ci siano o meno rallentamenti. Quindi invece
 che secondi potrebbe anche essere una frazione di secondo,
 oppure decine di secondi se il computer è molto impegnato.
 E' quindi un modo per darsi più tempo, quello di occupare
 il computer facendogli fare delle cose, per esempio aprendo
 più applicazioni o grossi documenti (o immagini) in sequenza,
 e infilarci in mezzo le proprie azioni anti-malware. Solo
 che se il computer ha un processore singolo, fare questo
 è abbastanza facile, mentre se ha il processore doppio o
 quadruplo diventa sempre più complicato e difficoltoso.
 
 Per fortuna, questa necessità non dovrebbe presentarsi,
 nel caso della procedura che ho descritto.
 
 ---
 
 Nel caso si volesse conservare copia del malware per studiarne
 il contenuto, un modo semplice è quello di predisporre sul
 desktop sei cartelle compresse (clic sinistro del mouse sullo
 sfondo del desktop, puntatore su "Nuovo", e clic sinistro su
 "Cartella compressa" quando compare il menu a tendina), ciascuna
 con un nome assegnato a ciascuno dei file del malware. Quindi,
 Dalle finestre aperte delle due cartelle col malware, trascinare
 col mouse ciascun file in ciascuna rispettiva cartella e aspettare
 che si riempia (col computer veloce, dovrebbe avvenire subito).
 
 Una volta create le copie compresse, spostare le sei cartelle .zip
 in una cartella normale, con un nome scelto per l'occasione.
 
 I file si potranno decomprimere e studiare su
 Linux, o su Mac, o un qualunque altro sistema non-windows.
 
 Nota : analogamente alla creazione delle copie compresse si
 potranno creare delle copie di testo, aprendo delle pagine bianche
 di Blocco Note e trascinandoci dentro i relativi file del malware.
 A dire il vero con il Blocco Note il testo appare tutto alla
 rinfusa. Usando un altro programma, per esempio NoteTab Light
 (si trova su internet ed è gratuito), apparirà tutto ordinato
 con un certo criterio e quindi sarà più agevole da leggere.
 
 Con l'editor di testo elementare si possono leggere i testi di
 qualsiasi software, anche immagini, tenendo però presente che più
 i file sono grossi e più tempo ci vorrà per riempire la pagina
