Newsgroup: it.comp.sicurezza.windows
Titolo: ykvm1.exe

Grazie al firewall (Comodo Personal Firewall) mi è stato segnalato il 
tentativo di uscita verso l'esterno da parte del processo ykvm1.exe 
(contenuto nella cartella c:\windows\temp).
Ho fatto una ricerca su Google e Google Groups senza trovare 
assolutissimamente nulla a riguardo.
Chiedo quindi se qualcuno ha qualche informazione in merito a questo 
processo. 


Eh, ormai e' una strage.
Eseguibili in temp con il nome che finisce per 1 sono un sintomo di
un rootkit d-e.
E sono abbastanza bastardi da cavare.
-- 
           |Save our planet!
    Ciao   |Save wildlife!
   roberto |For your E-MAIL use ONLY recycled Bytes  !!
           |roberto poggi   
rpo...@softhome.net

 E sono abbastanza bastardi da cavare.
Con cosa posso essere sicuro di estirpare tale farabutto? Ho già provveduto 
a killare il file da task manager, cancellarlo ed a rimuovere ogni 
riferimento dal registro di configurazione. Posso stare tranquillo o no? 


Fino ad un certo punto.
Hai seguito tutte le istruzioni per il rootkit?
Perche' quell'eseguibile e' solo una parte del problema.


Se vuoi verificare un attacco rootkit, utilizza il programma gratuito:
RootkitRevealer. Ciao

 RootkitRevealer. Ciao
ho lo stesso problema, ma il mio si chiama kaps1.exe. sono riuscito per
il momento a bloccarlo, ma il bastardo sta sempre li in windows\temp ..
al momeno sembra che dorma.. ora provo con questo rootkitrevealer ,,
grazie farò sapere

 rootkitrevealer ,, grazie farň sapere
Ho appena acceso il PC e da un controllo nella cartella c:\windows\temp non 
risulta che il file ykvm1.exe sia presente. Speriamo in bene...
-- 
-
Mauro - ICQ 427762 - MSN 
mau...@hotmail.com
Il primo sito sulla locomotiva E636 -> 
http://www.e636.it
 

 Il primo sito sulla locomotiva E636 -> 
http://www.e636.it
a me il rootkitrevealer non l'ha rilevato, in compenso mi ha segnalato
qualcosaltro che non ricordo, ma mi sembra fossero chiavi di registro
di aggiornamenti di windowsxp e di yahoomessenger .. per quanto
riguarda kaps1.exe son riuscito ad eliminarlo solo entrando in
modalità provvisoria da riga di comando, ho l'impressione che si avvii
con explorer e tra le sue dipendenze ci sono praticamente tutti i
programmi e le librerie di sistema, duro a morire!! eheheheh .. vorrei
sapere se qualcuno sa cosa lo genera perchè sicuramente risalta fuori
ciao grazie

 ciao grazie
Allora, per fare alcuni esperimenti ho scaricato un programmino dal sito 
della Sysinternals (si chiama REGDELNULL) e l'ho copiato nella root di C:\ .
Dal prompt dei comandi ho lanciato "REGDELNULL HKLM -S" (senza virgolette) e 
dopo qualche secondo mi ha richiesto di cancellare alcune chiavi di registro 
da lui definite anomale [0 bytes Key name contains embedded nulls (*)]. Ho 
confermato il tutto ed al successivo riavvio pare che tutto fosse ok.
Premetto che a tutto questo ci sono arrivato dopo aver trovato nel log di 
Hijackthis alcune chiavi, tra le quale quella relativa ad un non meglio 
identificato Zepter Software; tale chiave era impossibile da cancellare e le 
due relative sottochiavi non erano accessibili, neppure modificando le 
autorizzazioni.
Da un breve ricerca su Google ho dedotto che questo Zepter fosse cosa non 
buona, per cui sono risalito al sito della Sysinternals e da lì tutto il 
resto.
Oltre a Zepter Software nel log di Hijackthis vengono riportate numerose 
altre chiavi anomale, tutte cancellate con REGDELNULL.
Incrociamo le dita e speriamo che vada tutto bene; al massimo ho il backup 
del disco fisso.


 Il primo sito sulla locomotiva E636 -> 
http://www.e636.it
grazie delle indicazioni .. leggiti anche questa pagina
http://www.viritpro.info/articoli/rootkit_d-e.htm
 
ciao

*Mauro* scrisse:

Tutta la merda che sta nei file TEMP di winzozz va cancellata.
Se si usa un cleaner (consiglio windows washer) questi problemi (IMO banali) 
non si verificheranno più
-- 
Lo Zio Fizzy ©
       /)/)
     (  '.')
   o(_('')('')

 banali) non si verificheranno più
Il problema è che cartelle come C:\Windows\Temp non sono assiduamente 
frequentate dagli utenti come tante altre; i creatori di virus e rumente 
varie ovviamente lo sanno ed approfittano del fatto, creando malware che si 
va ad instaurare in cartelle simili.
Ci vorrebbe un accrocchio che ad ogni avvio di Windows cancellasse i file 
temporanei suddetti; magari con un file batch si potrà fare?


 temporanei suddetti; magari con un file batch si potrà fare?
Che non servirebbe ad una cippa.
Il file eseguibile in /temp e' solo il secondo stadio del rootkit.
Se lo cancelli, viene ricreato dal vero rootkit, che sta in un ADS,
o in un file di nome con4.exe, o in lpt3.exe, o ...


 o in un file di nome con4.exe, o in lpt3.exe, o ...
...o aux.vqn, o com.mex. Nonostante l'estensione sono eseguibili.
Sono già rognosi per conto loro, ma hanno a loro volta un'altra parte
virale nascosta in un ADS, e vengono lanciati da una chiave di registro
(la AppInit.dll di cui in altro post) della quale diritti e proprietà sono
di un utente nascosto, con nome pseudocasuale. I dati nella chiave
sono nascosti col sistema dell'embedded null, e l'eseguibile si
aggancia ad una istanza di svchost e/o ad altri programmi di sistema,
dei quali provvede, una volta partito, a killare i parent... e ci sono
altri trucchetti, credo.
Finora, l'unico metodo manuale che ha funzionato è stato di entrare
con un CD Linux live (SysRescCD, con Captive per accedere ai
dischi NTFS), e cancellare tutta l'immondizia, poi ripulire a mano
il registro, poi ripassare il tutto con i soliti antivirus, antispy, cleaner...
Mi risultano alcuni AV che riconoscono il bastardo, ma solo se non
è già in memoria, quindi l'utilità è limitata ai casi in cui è possibile
smontare il disco e metterlo su un altro PC o, di nuovo, accedere
con un CD live.
Bye, G. 

 il registro, poi ripassare il tutto con i soliti antivirus, antispy, cleaner...
Beh, quasi quello che faccio io.
Live per rinominare eventuali file con nomi di periferica.
Poi, bartpe per le pulizie pasquali del registro, associato a rootkit
revealer, delregnull, adsspy e alla fine, una passata di nod32 che
toglie gli eventuali figli di trojan che fosse gia' riuscito a
scaricare.


 scaricare.
GMTA :-)
Bye, G. 

 Bye, G.
assolutamente vero .. io pensavo, ahimè!,   di esser riuscito a
ripulire tutto il disco dopo aver eliminato ben 11 tra rootkit, dialer
e worm + altri sospetti ... ci potrei fare una squadra di calcio ...
adesso però all'avvio ci sono explore.exe e un servizio svchost che mi
occupano tutta la memoria .. devo interrompere explore.exe da
taskmanager e rieseguirlo nuovamente .. evidentemente qualcosa di
sporco è rimasto.. finirà che formatto .. dopo le ferie .. :-))
bye