Newsgroup: it.comp.aiuto
Titolo: AIUTO !!! VIRUS IN MIRC !!!

Salve a tutti !!!
Mi e' capitato questo:
lancio il programma mirc 5.7
e il Norton mi ha avvisato che c'e' il virus BACKDOOR.SUBSEVEN nel
programma mirc.exe !!!
Allora io ho scelto l'opzione RIPARA ma Norton non e' riuscito a fare
un bel nulla !!! Quindi ho scelto l'opzione
CANCELLA file e il Norton ha cancellato il file principale !!!
Poi ho provveduto a cancellare tutte le directory di mirc e a
reinstallarlo daccapo ma...DISASTRO !!! Il Norton mi rileva sempre lo
stesso virus presente !!!
Ho provato anche a fare una scansione completa del sistema ma il
Norton non riesce a trovare assolutamente nulla !!! Soltanto all'atto
dell'installazione di mirc mi avverte della presenza del virus !!!
Cmq ho provato a entrare nel registro di configurazione e ho cercato
la parola backdoor.subseven e......C'E' !!! Pero' non voglio toccare
assolutamente nulla !!! Cosa posso fare ?? Come posso riutilizzare
mIRC ???
Grazie a tutti !!!
Saluti,
Alex
ps: dovrei avere un backup del mio windows da qualche parte...e'
possibile sostituire qualche file ???
----------------------------------------------------------------------------------
"Le leggi...per i nemici si applicano, per gli amici si interpretano" (G.Giolitti)
----------------------------------------------------------------------------------
Visit my site: 
http://digilander.iol.it/aledoria

mIRC ???
hai provato a vedere che ti dice il database virus di symentec? spesso
ci sono anche le indicazioni per la rimozione a mano
http://www.symantec.com/avcenter/vinfodb.html
-- 
Ciao!
        Gian Matteo

mIRC ???
vai qui e leggi le istruzioni per cercare i prg in esecuzione
automatica nel registro:
http://registry.winguides.com/display.php/109/
 . sicuramente ci sara'
il file di s7. dovresti andare un po' ad intuito perche' sicuramente
sara' stato rinominato.
-- 
rimuovi  -toglimi-  dall'indirizzo 

 Alex
E' perfettamente normale che il Norton dica che non è possibile riparare.
Quando si tratta di Trojan dice sempre così.
L'opzione giusta è mettere in quarantena e da lì cancellare oppure
cancellare direttamente.
Procurati comunque un nuovo mirc.exe (magari dal sito ufficiale)
Fai per sicurezza una scansione del disco fisso, verifica di avere l'ultimo
aggiornamento del Norton antivirus è del 30/11/00 (deve dire 48104 virus
conosciuti)
Se l'antivirus in fase di installazione ha fatto scattare l'autoprotezione
non dovresti avere problemi... sei sicuro di quello che dici sul registro?
Prima di formattare o reinstallare assicurati di averne effettivamente
bisogno.
Le backdoor trojan vanno a modificare (se eseguite) le seguenti chiavi:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServicesOnce
Assicurati che non ci sia nulla di strano che giri lì
Ti consiglio per il presente e per il futuro di scaricare e installare 2 prg
free da 
http://www.avp.it/future.htm
   si tratta di AVP Network Agent  e di
AVP System Watcher
Sono di piccole dimensioni, occupano poche risorse e sono molto efficaci.
Ti permettono di vedere in modo rapido e semplice le porte aperte sul tuo
pc, che cosa gira in esecuzione automatica, e il registro di cui sopra.

-----------------------------------------------------------------
Non mi sembra di aver visto nulla di inconsueto !!! Sembra tutto
normale !!! Ho installato anche THE CLEANER e AVP System Watcher,
nonche' AVP Network Agent, ma non rilevano nulla di anomalo !!!
Il Norton continua a rilevare questo benedetto trojan, ma io ora ho
tralasciato ed ho eseguito lo stesso mIRC !!! Bah !!! Altri consigli
???
Grazie,
Alex


---------------------------------------------------------------------------------------------------
Fatto !!! Non mi rilevano nulla di strano !!! Cosa fanno se rilevano
qualcosa ??? Il System Watcher mi riporta un sacco di file, ma non
dice nulla !!!
Per ora ho lanciato lo stesso mIRC fregandomene del Norton...tutto mi
va bene e non ci sono problemi. Boh ??? Altre soluzioni ???


Sono ancora io !!!
Leggete cosa ho trovato in un sito:
"Backdoor.SubSeven has been distributed as an email attachment and in
newsgroups. It uses various names. The infected system acts as a
server for the client controlled by the virus author. The trojan may
create any of the following files on the system:
WINDOWS\
DATA2.EXE 
KERNEL16.DLL 
NODLL.EXE 
RUNDLL16.COM
 
SERVER.EXE 
SYSTEMTRAYICON!.EXE 
TINURAK.EXE 
WINDOW.EXE 
WINDOWS\SYSTEM\LMDRKI_33.DLL 
WATCHING.DLL 
The trojan also modifies the RunServices key in the registry, WIN.INI
or SYSTEM.INI to launch the application when the system reboots".
Allora...dei suddetti programmi NON c'e' traccia nel mio HD...ma NEL
REGISTRO DI CONFIGURAZIONE SIIIIII !!! :-(((
Ecco quello che ho trovato: SYSTEMTRAYICON!.EXE , TINURAK.EXE,
WINDOW.EXE !!!
Che faccio...li CANCELLO ??? Aiutatemi per favore !!!
Saluti,


 ha scritto nel messaggio
news:3a287153...@news.libero.it...

Penso che dovresti tranquillizzarti e non cancellare metà del contenuto del
tuo pc..
Se il tuo antivirus è di versione recente, se l'antivirus è in possesso
degli ultimi aggiornamenti, se la scansione di tutti i file del tuo disco
fisso non fa emergere nulla, se come dici l'antivirus è intervenuto prima
che il trojan fosse eseguito.......
La prossima volta fai più attenzione a dove prelevi i programmi.

 Telecom scrivendo:
Che cosa hai contro la Telecom ?

 Che faccio...li CANCELLO ??? Aiutatemi per favore !!!
 bisognerebbe sapere le posizioni *precise* di queste voci nel registro..
 In ogni caso, dato che *non* sono file di sistema di Windows e dai nomi
 sembrano anche sospetti, la cosa migliore che puoi fare e' esportare le
 chiavi del registro in cui si trovano i valori e _dopo_ cancellare i
 singoli valori (facendo attenzione..)
 Inoltre leggi questa pagina:
 
http://www.datafellows.com/v-descs/subseven.htm
 
 Ciao.
-- 
                    dubium sapientiae initium

 Fatto !!! Ma non mi sembra che ci sia nulla di anomalo !!! Mah !!!
 controlla anche:
 HKCU\Software\Microsoft\Windows\CurrentVersion\Run
 e inoltre dai un'occhiata pure a Win.ini e system.ini, per vedere se vi 
 sono riferimenti a file sospetti..
 Di solito Subseven inserisce anche le seguenti chiavi fasulle nel registro
 HKEY_LOCAL_MACHINE\Enum\PCI\RZNSSS
 HKEY_CLASSES_ROOT\.dl
 HKEY_CLASSES_ROOT\.dl\(Default) = "exefile"
 HKEY_CLASSES_ROOT\.dl\Content Type = "application/x-msdownload"
 (fai attenzione che vi e' una *sola* L..)
 Se le trovi, eliminale.. 
 cerca, infine, nell'Hd un file di nome msrexe.exe e cancellalo, come pure
 eventuali riferimenti a questo file nel registro o in win.ini e system.ini
 (fatti una copia di questi 2 ultimi files prima di aprirli..)
 In ogni caso, SubSeven e' uno dei trojan piu' diffusi e le sue varianti
 sono molteplici, quindi non e' detto che troverai tutte o alcune dei
 file sopra scritti..


------------------------------------------------------------------
Gia' fatto !!! I file che il subseven avrebbe dovuto installare NON ci
sono nel mio hd !!! Ripeto: sono rimaste soltanto quelle voci nel
registro di configurazione (credo) !!!


 registro di configurazione (credo) !!!
  Controlla se hai abilitato la visualizzazione dei file nascosti...
  Se anche cosi' non trovi traccia dei files, forse il Norton li ha
  gia' eliminati, o forse si tratta di un falso positivo (ossia di 
  un'errata segnalazione da parte dell'AntiVirus, che ti segnala un
  file come infetto, quando, in realta', esso non contiene realmente
  virus..)..
  Le definizioni dei virus del tuo Norton sono recenti?


----------------------------------------------------------------------------------------
E' veroooo !!! Ho controllato bene !!! Le voci si trovano proprio in
quella chiave !!! Quindi ora il mio sistema e' pulito, non c'e' piu'
traccia di nulla !!!
GRAZIE MILLE DI TUTTO !!!
Ah, prima di congedarmi, forse vorrai (vorrete) sapere come mi son
beccato questo maledetto SUBSEVEN; l'ho scoperto proprio oggi !!! E'
colpa mia...l'ho preso scaricando la lista di mp3 dal canale #dgn !!!
Mi sono accorto che c'era un altro file con estensione .txt che si
downloadava automaticamente e io, pur notando la cosa sospetta, l'ho
aperto (sicuro del fatto che i trojan avessero estensione .exe o.vbs e
basta) !!! :-(((
Cmq non capisco come mai il Norton mi abbia avvisato un bel po' di
giorni dopo il "fattaccio" !!! E' un trojan che si manifesta a scoppio
ritardato ? Mah !!!!
Quindi...a tutti coloro i quali hanno scaricato LA LISTA degli mp3
presenti sul canale #dgn (con il comando !allmp3) dico di stare
attentiiiii !!!! Non voglio creare inutili allarmismi, pero' cosi' mi
hanno detto e cosi' vi riferisco !!! FIdarsi e' bene, non fidarsi e'
meglio !!!
Saluti a tutti !!!
E GRAZIE ASTIANATTE !!!
