Newsgroup: it.comp.sicurezza.windows
Titolo: [VIRUS: FINTO ANTIVIRUS] - Esperienza da dimenticare

Ciao a tutti,
vorrei condividere con voi l'esperienza di infezione del malware/virus 
"Microsoft Security Essentials Alert ".
Pericolosit� (per quanto mi ha riguardato): elevatissima.
Configurazione sicurezza sistema:
SO: Windows XP SP3 aggiornato
Antivirus: Avira AntiVir Personal
Configurazione utente: Utente limitato
Browser: IE8
Cosa � successo:
ricerco un mio sito internet hostato da Aruba con Google;
con mia sorpresa google mi dice che il sito � sconsigliato perche' fa 
scaricare Malware dalla russia ("con amore")
Entro nel dominio e vedo che ai sorgenti della home e di altre 3 pagine � 
stato aggiunto un iframe invisibile che punta ad un ***pozzo*** di malware 
"
ilcontrapasso.it
".
Metto subito off line il sito
Ripulisco tutto il codice, apro ticket con Aruba chiedendo se il problema 
consite nella debolezza del mio codice PHP o nella compromissione della 
sicurezza del server di Aruba.
Comunico a Google di aver ripulito il sito e che ora � OK
Aruba mi risponde di considerare una terza opzione: virus che ruba 
credenziali sul pc client FTP del dominio.
Il giorno stesso inizia ad aprirsi un popup "Microsoft Security Essentials 
Alert" sul PC personale da cui gestisco il dominio. L'antivirus non lo 
rileva, Spybot (installato in quel momento non lo rileva).. intanto il task 
manger di windows non funziona pi� perch'e' il virus lo chiude appena lo 
avvio.
Qualunque programma diverso dal browser viene chiuso.
Fortunatamente navigando e usando il PC con l'utenza limitata, anche il 
malware gira nel profilo locale con permessi limitati, per cui avvio il 
taskmanager con credenziali amministrative..si apre e individuo subito un 
HOTFIX.EXE.
Killo Hotfix.exe--> spariscono i popup, posso aprire i programmi compreso il 
task manager con credenziali limitate.
Sradico il maledetto Malware manualmente (Document & Settings\utente 
limitato\dati applicazioni..) che aveva anche una iconcina proprio carina a 
forma di monitor LCD 16/9 + chiavi di registro
Riavvio in mod limitata, faccio le varie pulizie con av, spy bot, ecc ecc.
Cambio password per l'accesso FTP al sito.
Due Giorni dopo il sito non � piu' in black list di Google e sembrerebbe 
funzionare nuovamente come deve.
Per concludere:
nonostante che io presti molta attenzione nell'aggiornare il pc, nel 
utilizzo di profili limitati per svolgere la mia attivit� e l'utilizzo di 
AV+AntiSpyware sono riusciti a fottermi le password FTP per l'accesso al mio 
dominio ******solo perche' le avevo inserite in automatico***** nel mio 
client FTP (FileZilla).
D'ora in avanti non utilizzero' pi� la funzione di inserimento automatico 
password per nessun portale/sito/programma per accesso a servizi WEB.
Vi garantisco che la cosa mi ha spaventato davvero; mi sentivo quasi un 
intoccabile e ho sempre guardato con sufficienza " l'utonto" medio (il cui 
livello di prudenza e preparazione � davvero basso) ma adesso percepisco il 
livello di rischio molto pi� elevato.. Qui non si tratta di un hacker che ti 
prende di mira perch� possiedi chiss� quali segreti sui tuoi sistemi. Questi 
sono attacchi automatici su vasta scala che riescono a bucare sistemi 
aggiornati e decentemente protetti.
Pensate se avessi avuto password per accesso a dati piu' sensibili sul 
PC...da brivido
Grazie a tutti dell'attenzione...

 Grazie a tutti dell'attenzione...
Grazie del racconto... questa me la segno... non mi immaginavo di questo 
rischio con filezilla :(
Scusa ma nei giorni antecedenti il pc non ti ha dato qualche campanello 
"d'allarme" ?
Perchï¿œ per "fregarti" user/pass dal collegamento con filezila o il 
completamento automatico del browser qualcosa che girava nel pc c'era....
Magari Xp sta davvero invecchiando....
L'unico appunto non avrei usato spybot che ormai vede davvero "pochino" 
ma al suo posto malwarebyte's  antimalware ;) e SUPERAntispyware
Ciao
-- 
glm2006ITALY
My web site: 
http://www.webepc.it
My blog:     
http://glm2006italy.blogspot.com/

 
E se invece fosse stato il server ad essere violato, e il tuo PC si sia 
infettato successivamente magari quando hai lavorato per ripulire il 
codice?
La sequenza che hai descritto mi porta a pensare a questa opzione, in fondo 
fino a quel momento, cio� fino a quando google ti ha segnalato il sito 
spargimalware, il tuo PC non manifestava anomalie no? 
-- 
Ciao, Guglielmo.

 rischio con filezilla :(
Non ï¿œ filezilla il problema, ma l'FTP in chiaro; proprio per questo 
esiste l'sFTP (TLS/SSL).
Ciao
Luca

 esiste l'sFTP (TLS/SSL).
Uhm... chiedo ben volentieri al mio provider se offrono questo servizio...


 non mi immaginavo di questo rischio con filezilla :(
constato che non hai capito una mazza e ti prego cortesemente
di rileggerti il thread attentamente e di capire bene cosa sia
successo e perch� le passwords siano state "rubate"; non �
una questione di client FTP ma di... altro

 esiste l'sFTP (TLS/SSL).
Ma neanche quello, Luca, � un classico PEBKAC; si � trovato con
un PC infettato dal quale "gestiva i siti" ... vedi tu :D

 una questione di client FTP ma di... altro
E chi non ha capito una mazza?
Lo immagino che per "fregare" i dati sul pc questo era quasi sicuramente 
"occupato" da qualche simpatica bestiolina... che questa possa "leggere" 
quanto scritto sulla tastiera idem.
Ma che andasse a "prendere di mira" le pass salvate in file zilla questo 
m ha lasciato un pochettino sorpreso.
Tutto qua :)


 questo m ha lasciato un pochettino sorpreso.
Non ha preso "di mira" filezilla; le pass FTP viaggiano in chiaro
sulla rete... vedi se questo ti fa venire qualche idea sul come siano
state rubate quelle passwords <g>


Ah, ho capito quindi ,se non sbaglio, all'amico converrebbe cambiare 
TUTTE le pass di qualsivoglia connessione "in chiaro" (tipo e-mail 
tramite pop3,ecc)
Ciao


 "in chiaro" (tipo e-mail tramite pop3,ecc)
esatto, e sarebbe COMUNQUE stata una buona idea, vedi, una
volta che il sistema � stato "infettato" da qualche tipo di malware
non c'� garanzia che le credenziali non siano state rubate, per cui
� sempre opportuno cambiare tutte le passwords di qualsivoglia
account al quale il sistema abbia o abbia avuto accesso

 account al quale il sistema abbia o abbia avuto accesso
Miseria mi stanno venendo atroci tormenti se penso  a cosa potrebbe 
capitare al mio pc in caso di infezione.... tra account di posta (c.a 
20), dati di accesso FTP (soprattutto quelli di circa 20 clienti!) e 
dati di accesso  a vari servizi on-line.... brrrrrr  x_x
Basterï¿œ avere:
Account limitato
MSE sempre aggiornato
Scansione aggiuntiva settimanale con MBAM
Pulizia ogni giorni max 2 con Ccleaner
Cervello "accesso" ;D


 x_x
Eh... welcome to planet earth <g>
Tra l'altro, quello è il "minimo", c'è un sacco di gente che usa
le stesse credenziali (o la stessa password) per vari servizi
(email, facebook ...) a quel punto basta rubare UNA password
per essere in grado di accedere a tutti i servizi del tizio in un
colpo solo :P
Anzi... immagina uno che utilizzi sempre la stessa password;
il tizio capita su un sito che richiede l'iscrizione per accedere
(es.) al download di determinati files o ai forums o...; il nostro
usa la sua solita password, si iscrive e... fino a quel punto tutto
ok; peccato però che il sito non sia del tutto "pulito" e che le
credenziali del nostro tizio vengano intercettate; a quel punto
addio mail, profilo facebook e quant'altro :P