Newsgroup: it.comp.sicurezza.windows
Titolo: Richiesta di connessione indesiderata da un sito

Ho già provato a esporre il problema su it.comp.sicurezza.varie, ma
senza fortuna, per cui provo qui...
Cmq, veniamo ai fatti. Ogni volta che faccio partire il pc (con win
xp), mi appare una finestra "connessioni di rete", che mi informa che
da un programma o da un utente sono state richieste informazioni da
www.scorpionsearch.com
 e mi chiede quale connessione utilizzare (ne ho
una sola, quella adsl). Se faccio Annulla, non serve a niente, perchè
dopo pochi secondi la finestra maledetta torna a farsi viva. Se
accetto di collegarmi (o anche se mi collego manualmente) dopo un pò
mi ritrovo pieno di banner porno e tentativi di scaricamento di dialer
e robaccia varia. Morale: non posso scappare, ogni giorno devo
sorbirmi questo supplizio.
Questa storia deve finire, io ne ho le scatole piene, ho provato
ad-aware, spycop, norton antivirus, ma niente da fare.
Spero che qui qlcn possa aiutarmi.
Ringrazio anticipatamente.

 senza fortuna, per cui provo qui...
Trojan.Clicker.NetBuie a-b
NetBuie è un Trojan esistente nelle versioni a e b ed è distribuito in un
file autoestraente .ZIP che a sua volta contiene due file .EXE scritti in VB
6.0.
Una volta autoinstallati si peresentano sotto le finte spoglie di un
emulatore di Xbox e il suo compito è di eseguire "clic" periodici su banner
gestiti da coloro che hanno creato il virus.
NetBuie.a (versione A)
Dopo l'autoinstallazione troviamo i file nelle seguenti cartelle :
%WinDir%SystemNBConfig.exe
%WinDir%SystemNetBUIE.exe.
e vengono create le seguenti chiave nel registro di configurazione :
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
"NetBUIE"="C:\\windows\\system\\NetBUIE.exe"
Una volta eseguite queste operazioni apparirà un falso avvertimento del tipo
:
"Setup.exe is not a valid Win32 application"
NetBuie avvia poi il programma di NetBUIE.exe che periodicamente e
clandestinamente avvia il web-browser e lo dirige ad uno di tre indirizzi di
web:
    a..
http://hg1.hitbox.com/HG?hc=w114&cd=1&hb=WQ500421D7CZ38EN0&n=Stealth4
    b.. 
http://fastcounter.bcentral.com/fastcounter?1817391+3634789
    c.. 
http://www.scorpionsearch.com/admin.html
NetBuie.b (versione B)
Dopo l'autoinstallazione troviamo i file nelle seguenti cartelle :
%WinDir%\System\DConfig.exe ³
%WinDir%\System\StealthXP.exe.
e vengono create le seguenti chiave nel registro di configurazione :
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
"NetBUIE"=""
"StealthXP"="C:\\WINDOWS\\SYSTEM\\StealthXP.exe"
Poi apparirà il famovo messaggio citato in precedenza.
NetBuie avvia poi il programma dStealthXP.exe che ha lo stesso scopo di
puntare agli stessi indirizzi menzionati sopra.
Rimedio : cancella i file e le relative chiavi di registro

Rimedio : cancella i file e le relative chiavi di registro
Niente, non č questo, gli eseguibili non ci sono e le chiavi nel
registro neanche.
Questo č quello che ho nella sezione RUN:
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"NvCplDaemon"="RUNDLL32.EXE NvQTwk,NvCplDaemon initialize"
"nwiz"="nwiz.exe /install"
"Xfire"="Xfire.exe /minimize"
"Diagnostica SpeedTouch USB"="\"H:\\Programmi\\Alcatel\\SpeedTouch
USB\\Dragdiag.exe\" /icon"
"NeroCheck"="H:\\WINDOWS\\system32\\NeroCheck.exe"
"CloneCDElbyCDFL"="\"H:\\Programmi\\CloneCD\\ElbyCheck.exe\" /L
ElbyCDFL"
"Taskmgr"="H:\\WINDOWS\\System32\\1086\\taskmgr.exe"
"Twunk_64"="H:\\WINDOWS\\System32\\1076\\twunk_64.exe"
Qlc altra idea?

 "Twunk_64"="H:\\WINDOWS\\System32\\1076\\twunk_64.exe"
Mustek

Mustek
che č?

 che č?
Hai uno scanner ?

Hai uno scanner ?
No, mai avuto uno scanner in vita mia!
Ho provato prima a seguire i consigli della pagina che mi hai
segnalato e ho spazzato via  il finto task manager e la relativa voce
nel registro. Ho riavviato ma il problema persisteva, allora ho fatto
tuori anche il file twunk_64.exe e al successivo riavvio non lo ha piů
fatto!
Grazie mille! Finalmente questa storia sembra essere finita!
Un ultima cosa: siccome vorrei essere sicuro che non ci siano in giro
altri eseguibili infettati e visto che il norton antivirus non mi
aveva debellato il problema, che altro antivirus potrei provare?
Di nuovo: grazie!


La cura è sempre in ritardo rispetto ad ogni nuova malattia !
Comunque alcune precauzioni generali come non scaricare posta con
l'anteprima attivata, utilizzare patch aggiornate, evitare determinati siti
a volte, configurare bene i prg utilizzati per Internet e per la posta (non
sempre) sono già una buona difesa.
Riguardo a TWUNK.EXE è un file usato in Twain ma non è detto che...


Correzione : W2K installa Twunk_32.exe e Twunk_16.exe
Twunk_64.exe  invece...

Twunk_64.exe  invece...
Mi era sfuggito che in un altra sottocartella di system32 twunk_64.exe
ce n'è un altro, di dimensioni diverse da quello che ho eliminato,
precisamente sotto
C:\WINDOWS\system32\1019\
Uccido anche questo?

 Uccido anche questo?
Si !