Newsgroup: it.comp.sicurezza.windows
Titolo: Sospetto desktop.ini

Questo me lo sono trovato sul 98 in Vmware, nella cartella Documenti. Il
contenuto e':
[.ShellClassInfo]
CLSID2={450d8fba-ad25-11d0-98a8-0800361b1103}
InfoTip=Memorizza documenti, file di grafica o altri file.
che roba e'? Ho l'AVP aggiornato a 2 giorni fa quindi non credo possa
essere qualcosa di malefico ma siccome per mia natura non mi fido mai..
-- 
Pierluigi De Rosa (
tho...@durin.khazad-dum.net
).
<<      LINUX: the choice of a GNU generation     >>
<<   For my real address... ask the Balrog.       >>
* Sostenete la Lega per la Soppressione dei Troll *

essere qualcosa di malefico ma siccome per mia natura non mi fido mai..
Dall'alto della mia infinita ignoranza posso solo dirti che:
1- il file dektop.ini serve per personalizzare la visualizzazione delle 
cartelle nell'Explorer di Windows, quindi escluderei a priori un qualsiasi 
virus.
2- nel tuo caso specifico mi sembra di capire che, fermandoti con il mouse 
sopra la cartella documenti per qualche istante, apparirà l'etichetta 
"Memorizza documenti, file di grafica o altri file".
3- CLSID2="ecc. ecc." dovrebbe star a significare che per visualizzare la 
cartella viene utilizzato un certo template (prova a cercare un file con 
estensione .htt nella stessa cartella).
Sperando di aver dissipato i tuoi dubbi ti saluto.
-- 
New Magic Flash

 Il contenuto e':
Niente di inquietante.
Indicazioni su come visualizzare i file.

 cartelle nell'Explorer di Windows, quindi escluderei a priori un qualsiasi 
Grazie per la risposta, mi sento sollevato, anche se era solo un 98 in
Vmware non mi sarebbe piaciuta l'idea di un visitor anche se AVP
aggiornatissimo lasciava pensare che non fosse cosi'.


 Indicazioni su come visualizzare i file.
Meglio cosi', una volta tanto sono stato paranoico inutilmente.


 essere qualcosa di malefico ma siccome per mia natura non mi fido mai..
Non e' piu' malefico di Win98... ;-)
A quello che ti ha gia' risposto New Magic Flash aggiungo solo che
dovresti trovare un file desktop.ini almeno in ogni cartella che windows
considera "speciale" (es: c:\recycled, c:\windows, c:\programmi,
c:\windows\fonts, ecc.).
Poi se con quel ClassID si possano fare o meno giochetti strani non
saprei. Di per se, comunque non e' nulla di pericoloso. 
Toglimi una curiosita', ti ha per caso insospettito il messaggio di ieri
di Fabio in ics.virus? ;-)
-- 
Carlo Luciano

 c:\windows\fonts, ecc.).
Perfetto.


essere qualcosa di malefico ma siccome per mia natura non mi fido mai..
Il clsid identifica la special folder My Documents (Documenti).
Non so in win98, ma in win2000 esiste anche una analoga chiave nel registro sotto
HKEY_CLASSES_ROOT\CLSID\{450D8FBA-AD25-11D0-98A8-0800361B1103}
che permette di impostarne piu' dettagliatamente diverse proprieta'
(descrizione esterna, icona, tip text, ordine di visualizzazione dei files, ecc.).
Diciamo che volendo fare dei danni, un eventuale aggressore dovrebbe:
1. sostituire mydocs.dll (a cui punta il CLSID)
oppure
2. sostituire il valore di 
HKCROOT\CLSID\{450D8FBA-AD25-11D0-98A8-0800361B1103}\InProcServer32,
che, in condizioni normali, punta a mydocs.dll.
Francamente, non ce lo vedo uno script kiddie a fare questo, mentre
uno tosto andrebbe, imho, a parare altrove.
-- 
hth, hal
-- 
hth, hal

 uno tosto andrebbe, imho, a parare altrove.
Diciamo che non appena si avvicina a meno di 2 miglia dalla mia
macchina un qualsiasi script kiddie si ritrova col sederino
polverizzato... Grazie anche a te per la risposta, comunque..


 (descrizione esterna, icona, tip text, ordine di visualizzazione dei files,
ecc.).
'sto pignolo... :-P
Bye, G.

Bye, G.
ciao, Pap !
-- 
hal.dmp