Newsgroup: it.comp.sicurezza.windows
Titolo: rimuovere BHO ostinatissimo

utilizzando hijackthis ho notato questo BHO ma non c'e' verso di riuscire a 
rimuoverlo
O2 - BHO: Class - {27F28E03-C095-9F03-C8D3-6C56BCCDB2E8} - 
C:\WINDOWS\qhefu1.dll (file missing) 


Al 99,9% e' il solito gromozon.
E' parte di un rootkit, e di quelli bastardi, oltretutto.
Se non elimini prima il rootkit, quello te lo ritroverai sempre tra i
piedi.
-- 
           |Save our planet!
    Ciao   |Save wildlife!
   roberto |For your E-MAIL use ONLY recycled Bytes  !!
           |roberto poggi   
rpo...@softhome.net


Dove trovo un tollkit di romozione?? 

 Dove trovo un tollkit di romozione??
http://blogs.dotnethell.it/vincent/Post_6384.aspx
"[Info] Alert: Trojan Linkoptimizer and Gromozon".
Buon lavoro e soprattutto... good luck.
-- 
Vincenzo Di Russo
Microsoft® MVP - Most Valuable Professional
Windows - Internet Explorer since 2003
My Blog: 
http://blogs.dotnethell.it/vincent/
My Home: 
http://mvp.support.microsoft.com/

piedi.
Il "file missing" però fa sperare bene.
-- 
Ci sono 10 tipi di persone al mondo: quelle che capiscono il sistema binario
e quelle che non lo capiscono.

 
No, purtroppo no.
Quello che si vede e' solo uno degli stadi, appena avviato, sparisce
dalle api di windows, da li' il file missing, il servizio parte e si
preoccupa della sopravvivenza sua e dei suoi colleghi, appena se ne
riesce a stoppare uno, l'altro lo ricrea al volo.
Non sono mai riuscito a sradicarlo lasciando in funzione lo stesso
windows infetto, almeno una razzolata con una live l'ho dovuto fare.


windows infetto, almeno una razzolata con una live l'ho dovuto fare.
Ci sono anche tanti "file missing" semplicemente derivanti da
cancellazione del file da parte dell'antivirus con conseguente voce
orfana nel registro.
Questa è la speranza che volevo dare: a me tante voci "file missing"
vanno via al primo colpo.
Poi ci sono anche i casi che tu dici...


 cancellazione del file da parte dell'antivirus con conseguente voce
Si', pero' non e' questo il caso:
http://wiki.castlecops.com/The_Gromozon_Rootkit_-_Detection_and_Removal

 orfana nel registro.
Gia', ma qui ci sono due fattori che mi hanno posrtato al pessimismo:
1 L'esperienza: ne ho affrontate gia' parecchie, di queste bestiacce.
2 Il subject di questo thread: "BHO ostinatissimo" :-P


2 Il subject di questo thread: "BHO ostinatissimo" :-P
Sě, in effetti il mio era un discorso piů generale.


windows infetto, almeno una razzolata con una live l'ho dovuto fare.
ProcExp -> "Suspend Task"
Finche' non si metteranno a chiacchierare fra loro per assicurarsi di
essere non solo vivi, ma anche coscienti, basta metterli tutti quanti
in animazione sospesa e poi fare il tiro al ghiacciolo.
Una volta m'ha fregato per bene pero', c'era uno "stadio" che partiva
collegato a IE, ripristinando *tutto* e tornando a dormire dopo avere
passato il testimone alla neo-prole.
Meno male che [per ora] i posti dove ci si puo' nascondere sono pochi
e AutoRuns/HJT li scovano tutti. Voglio vedere quanto c'impiegheranno
i gromonzi a sfruttare certe caratteristiche di Vista :-(
Leonardo "no, SpamCannon.exe e' un contenuto premium!"
-- 
Geordie - he's a man, there's little doot about't,
He's done all he can, wha' can do withoot't?
Doon there cam a blade, linkin' like me lordie,
He wad drive a trade, a' the loom of Geordie.

 ProcExp -> "Suspend Task"
Mica in tutte le varianti.
In almeno una che ho visto, non c'era un processo con nome sicuramente
maligno, si scrivono anche le descrizioni simil windows, e rinominano,
in quel caso, il processo in corso e l'utente che lo lancia.
Quando dico che di fronte ai centomila virus nati negli ultimi 20 anni
il gromozon basterebbe, da solo, non credo di esagerare.


il gromozon basterebbe, da solo, non credo di esagerare.
Eh, mi sa di no :-(
Leonardo
