Newsgroup: it.comp.sicurezza.windows
Titolo: C:\WINDOWS\sp.dll

 "regedit -s C:\WINDOWS\sp.dll", [cut]
anche io ieri o avantieri mi sono accorto della cosa e ho cancellato il file
e attivato l'avvio selettivo, adesso andando a cercare l'indirizzo visibile
visualizzando la dll in un editor esadecimale nel registro di windows ho
trovato tutto ciň
HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\
  Stringa: SearchURL Valore: 
http://www.jethomepage.com/ie/
da notare che la stringa subito sopra č questa
  Stringa: Download Directory Valore: D:\Programmi3\progz
la cartella D:\Programmi3 č una cartella che avevo fatto un paio di giorni
per metterci dentro vari software scaricati da internet da masterizzare su
cd, la sotto cartella progz conteneva vari programmi +o- piccoli meno
importanti di altri che invece avevano una cartella dedicata sempre
all'interno di Programmi3. La cartella Programmi3 č stata rimossa subito
dopo la masterizzazione
inoltre
HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main
  Stringa: Default_Search_URL Valore: 
http://www.jethomepage.com/ie/
  Stringa: Search Bar Valore: 
http://www.jethomepage.com/ie/
  Stringa: Search Page Valore: 
http://www.jethomepage.com/ie/
HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Search
  Stringa: SearchAssistant Valore: 
http://www.jethomepage.com/ie/
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Search
  Stringa: SearchAssistant Valore: 
http://www.jethomepage.com/ie/
HKEY_USERS\.DEFAULT\Software\Microsoft\Internet Explorer
  Stringa: SearchURL Valore: 
http://www.jethomepage.com/ie/
  Stringa: Download Directory Valore: D:\Programmi3\progz
HKEY_USERS\.DEFAULT\Software\Microsoft\Internet Explorer\Main
  Stringa: Search Bar Valore: 
http://www.jethomepage.com/ie/
  Stringa: Search Page Valore: 
http://www.jethomepage.com/ie/
ovviamente ho rimosso tutte le stringhe....spero di non ritrovarmele dopo il
riavvio del pc.....
ultimamente ho installato morpheus (music city), un programma per il file
sharing...potrebbe essere stato lui?
voi che ne dite? sapete di cosa si tratta?
--
smacksmacksmack
dr@x il puffo muratore
__________________________________________________________
my home: 
http://drax.too.it
my mail: 
draxinoN...@freemail.it
__________________________________________________________

> > "regedit -s C:\WINDOWS\sp.dll"
E' un aggeggino relativamente innocuo che si intrufola tramite uno script js e
fa esattamente quello che si vede: aggiunge le chiavi di registro per cambiare
il search engine di default.
Per altre info guarda qui:
http://groups.google.com/groups?q=sp.dll%2Bregedit&hl=en&rnum=3&selm=e991edcb
.
0110211021.67587458%
40posting.google.com
Fabio

 il search engine di default.
Come mai, pur essendo in esecuzione, non settava automaticamente l'home
page?
Ho il file nel sistema dall'8 novembre e non mi sono mai accorto di niente.
Ciao
Alessandro

 il search engine di default.
l'engine da me č sempre rimasto msn.....piů che altro č capitato una volta o
due che sono venuti fuori pop up sospetti che ho chiuso per evitare danni
(odio i full screen di explorer che chiudono solo con il colpo di
cannone)....
cmq poco male era innocuo e lo rimosso....certo che fa pensare che un .js
possa copiare una dll nella dir di win e metterla nel registro....in questo
caso era praticamente innocuo, ma potenzialmente potrebbe far gran
danni.....l'unica soluzione al problema e disattivare il supporto javascript
a explorer? no, perchč sarebbe impossibile ormai vedere una grossa fetta di
siti senza il supporto js....
grazie per le info cmq!!!!!


 danni.....
Hanno utilizzato un vecchio bug (piu' di un anno fa) nelle VM Java di
windows, che consente a qualsiasi programma Java o JavaScript di
accedere senza limitazioni ai controlli ActiveX.
Prova a scrivere nella linea di comando: JVIEW
Dovrebbe comparire la versione, tipo: 5.00.xxxx (xxxx e' il build
number)
Se il build number e' compreso tra:
2000-2446
2752-3194 
3229-3240
3300-3317
allora hai la VM bacata. Ti consiglio di fare l'update
(
windowsupdate.microsoft.com
), altrimenti i siti che visiti possono
fare *tutto* quello che vogliono sul tuo pc.

 accedere senza limitazioni ai controlli ActiveX.


 siti senza il supporto js....
Io ho predisposto affinché mi venga chiesta la conferma prima di
mandare in esecuzione uno script java. Normalmente concedo
l'autorizzazione solo nel caso il sito non possa essere visualizzato o
non funzioni in modo corretto. Come risultato ho ottenuto una drastica
diminuzione degli inchiodamenti di IE.
--
Ciao, Giuseppe
dragos...@yahoo.com