Newsgroup: it.hobby.armi
Titolo: Tiropratico.com e Dialer

Buona sera a tutti.
Sono un lettore saltuario del ng e spesso sono stato sul sito 
tiropratico.com
.
Anche questa sera gli ho dato una sbirciata e mi sono beccato un bel Dialer 
subito dopo aver aperto il sito.
Il veicolo di infezione pare stia nel contatore di accessi che tramite uno 
script java installa il dialer al malcapitato di turno.
Nel link sotto le info utili per risolvere il problema sia per gli utenti 
che per gli amministratori del sito:
http://sonostufo.splinder.com/post/15898198/Base+activities+limited
Base activities limited
Spero che quanto segue possa essere utile. Se avete da dire qualcosa in 
merito commentate pure.
BASE ACTIVITIES LIMITED
--------------------------------------------------------------------------------
COSA E':
Sinceramente ancora non l'ho ben capito. Sembrerebbe un DIALER, o meglio č 
una applicazione java che, se autorizzata, copia nel pc, solitamente nella 
cartella principale dell'utente connesso, un .exe con nomi sempre diversi 
che dovrebbe essere il dialer. Per le connessioni ADSL non dovrebbe creare 
seri problemi, per le DIAL-UP invece si.
Come č possibile leggere anche in questo blog, POCENIA, l'origine sembra 
essere il counter della webstat (
http://www.webstat.ms/
).
COSA FA:
Quando ci si collega ad un sito internet, da questo parte una connessione ad 
un sito tipo ...
add-ppp.info
 che richiede di installare un programma java 
'certificato' dalla 'Base Actvitied Limited' che ne č anche l'autore.
Se accetti, installa questo programma che poi, ogni volta che rientri nel 
sito incriminato, ricrea il DIALER.
RIMOZIONE DAL PC:
Io ho usato AVG FREE per rimuovere gli .exe creati. Ma non basta. Per 
impedire la ricreazione dovete eliminare il certificato dai certificati 
JAVA. In pratica dovete fare cosě:
    1. Andate su pannello di controllo e quindi aprite il programma di 
configurazione Java.
    3. Cliccate su 'Protezione' quindi su 'Certificati'.
    4. Selezionate il certificato 'Base Actitivities Limited' e quindi 
cliccate su rimuovi
RIMOZIONE DAL SITO:
Bisogna rimuovere il link dal sorgente del sito. Spesso l'ho visto associato 
ai counter che sono degli script js o php che rimandano i vostri visitatori 
a siti poco puliti.
Esempi di counter 'contagiosi':
[IT] 
freestat.ws
 - h**p://
freestat.ws
Inserisce trojan e simili nei siti ospitanti.
[IT] 
freestats.ws
 - h**p://
freestats.ws
Inserisce trojan e simili nei siti ospitanti.
[IT] MegaStat - h**p://
www.megastat.net/
Inserisce dialer, redirect e tanta altra spazzatura. Clone di Schinystat.
[IT] MyStat - h**p://
www.mystat.ws/
Inserisce dialer, redirect, pop-up.
[IT] Schinystat - h**p://
www.schinystat.com/
Inserisce virus nel sito. Attenzione: non č da confondersi con Shinystat, 
che invece funziona bene.
[IT] SpecialStat - h**p://
www.specialstat.com/
Inserisce dialer, redirect e tanta altra spazzatura.
[IT] Statistiche Web - h**p://
www.statistiche.ws/
Inserisce dialer, redirect, pop-up.
[IT] SuperStat - h**p://
www.superstat.info/
Inserisce dialer, redirect e tanta altra spazzatura. Clone di Schinystat.
[IT] TheStat - h**p://
www.thestat.net/
Inserisce dialer, redirect e tanta altra spazzatura. Clone di Schinystat.
[IT] TheStat - h**p://
www.payperstats.com/
Inserisce malware.
[IT] WebMeter - h**p://
www.webmeter.ws/
Inserisce dialer, redirect e tanta altra spazzatura. Clone di Schinystat.
[IT] WebStat - h**p://
www.webstat.ms/
Inserisce dialer, redirect e tanta altra spazzatura. Clone di Schinystat.
Da me ha funzionato.
----------------------

controllate la cartella in:
C:\Documents and Settings\"nomeutente"  (senza virgolette)
Se ci trovate diversi file tipo *letterecasuali.exe* allora siete infetti.


merd.. LO SAPEVO CHE A GRATIS NON DAVANO NULLA E C'ERO GIà 
CASCATO................
scusate, provvedo subito a correggere, meno male che è solo nella home page, 
quindi nessun problema per chi è entrato solo in altre pagine,
Grazie "Koya", eppure mi sembrava a posto............ (sigh!)
Grazie ancora.
BB. 

Non e' stata trovata alcuna voce! Sei sicuro che il sito che hai riportato
sia quello che ti ha creato problemi?
-Non sono un gran tecnico ma se mi posti in "pv" vedro' di aiutarti.
-con ricerca fatta su piu' motori la risposta e' la seguente:
 La ricerca di - letterecasuali.exe - non ha prodotto risultati in nessun
documento.
Strano....molto strano.


Il sito bastardo è questo: 
http://www.superstat.info/
Scusatemi ancora tutti, Bruno 

 documento.
Per letterecasuali.exe intendo cose del genere:
aertycvb.exe
wertihfyr.exe
quindi impossibili da trovare con qualsiasi ricerca

 Scusatemi ancora tutti, Bruno
Beccato alla grande!!! 

 ha scritto nel messaggio 
news:48751bfa$0$18146$4faf...@reader3.news.tin.it...

se fai una ricerca sul C: con l'estensione "*.exe" li trovi 

 sia quello che ti ha creato problemi?
Si.
Ovvio che l'amministratore non ha colpa.
Questi sono lavori da lamerozzi.
Il link sotto ti chiarira' meglio la situazione
http://pocenia.blogspot.com/2008/02/dialer-javajar-non-installatelo.html
 

 ha scritto nel messaggio 
news:48751c3d$0$18157$4faf...@reader3.news.tin.it...

 pagina ripulita, potete riprendere a navigare tranquilli ;-P

 BB.
Felice di essere stato utile.
Per me ( che sto aspettando il TAV da quasi tre mesi ) il tuo sito e' una 
vera miniera d'oro. 

La ricerca di - aertycvb.exe - non ha prodotto risultati in nessun documento
----------------------------------------------------------------------------
------
Forse cercavi: verifier.exe
Non sono state trovate pagine Web standard che contengano tutti i termini
della ricerca.
      La ricerca di - wertihfyr.exe - non ha prodotto risultati in nessun
documento.
      Suggerimenti:
        a.. Assicurarsi che tutte le parole siano state digitate
correttamente.
        b.. Provare con parole chiave diverse.
        c.. Provare con parole chiave più generiche.
----------------------------------------------------------------------------
------
Ricerca completata: non e' stata trovata alcuna voce.
Probabilmente perche' uso A.V.G vers 7.5 Internet security "Acquistato " e
si aggiorna automaticamente!
Saluti a tutti.

 ha scritto nel messaggio 
news:48751ff7$0$18154$4faf...@reader3.news.tin.it...

 Grazzzzzie, ricorda che l'ufficio ha tempo 120 giorni per il rilascio di 
licenze in materia di armi. 

 licenze in materia di armi.
Il 25 luglio scade il termine. Mi consigli di cominciare a sollecitare? 

 documento.
La cosa tosta e' che la ricerca con google non produrra' mai nessun 
risultato.
La chiave di ricerca e':
base activities limited
che e' il nome del certificato truffaldino.
Il nome del Dialer wertihfyr.exe e' stato creato dallo script contenuto nel
counter esattamente per quella specifica sessione .
La volta successiva sara' generato un nuovo dialer con un nuovo nome
casuale.
Quando entri in un sito infetto dallo script in questione ti si apre una 
finestra che ti chiede di eseguire lo script Java che in questo caso era 
nascosta nel counter ospitato nel sito e ti chiede di considerare 
attendibile il certificato.
Devi negare sia l'esecuzione dello script sia l'attendibilita' del 
certificato.
Potrebbe ripresentarti  in altri siti, alche' basta negare il tutto.
Segui le istruzioni nei link riportati nel 3d che non e' successo niente di
grave.
E' proprio una st***zata che si risolve al limite in due minuti con
antivirus e antispyware.

 ha scritto nel messaggio

Non solo per te!
Saluti
Ceru

 ha scritto nel messaggio 
news:48753750$0$40304$4faf...@reader5.news.tin.it...

Bisogna anche vedere se aspettano informazioni da altre Questure (ad esempio 
se sei nato in altra provincia o sse hai risieduto altrove ....... ) ma se 
fai domanda scritta devono per forza risponderti 
http://www.tiropratico.com/htm/diritto241.htm
 

 ....... )
Essi'!!
Risiedo a Meda (MI), luogo di nascita Napoli.
Pensa, mi disse un funzionario del TSN di Monza, che ne ho visti aspettare 
perfino quattro mesi.
Tu lo sai, disse, a Napoli.... la fatica....
Mi sono armato di una dose di pazienza supplementare.