Newsgroup: it.comp.sicurezza.windows
Titolo: internet.exe, server.exe.. backdoor? quale?? helpp :)

Su una macchina di un amico:
S.O. Win2k
connessione ADSL
alla partenza della connessione Tiny si mette a starnazzare dicendo:
'Dr VB sample application: 
www.dr-vb.co.il
' from your
computer wants to connect to 
mail.gns.co.il
[192.114.70.35], port 25
c:\windows\systemp\internet.exe
ho cercato su google tutti i riferimenti a internet.exe, e ne ho
trovati diversi, che mi rinviano ad una serie di trojan vari
(W32.MagicCall, W32.HLLW.Parved etc, ma in nessuna delle chiavi di
registro indicata ho trovato il richiamo al file internet.exe come da
loro suggerito di cercare.
in task manager trovo attive le applicazioni: 
getpIPhostname, che rimanda al processo internet.exe
e runDLL32 che rimanda la processo server.exe.
Rundll32 nelle applicazioni?
la macchina e' stand alone, non ha nulla di sherato volontariamente,
non ha NetBios installato
server.exe mi puzza di backdoor.. sbaglio?
cosa puo' averlo installato e' chiedere troppo.. come lo cavo dai
maroni? mi potete aiutare, o suggerire dei link un po' piu'
esplicativi di quelli che ho trovato io?
nel registro trovo: 
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
RunDll=C:\windows\systemp\server.exe
e' lui che mi fa il casino vero? rimuovo la chiave e deleto il file??
e poi?
che altro devo cercare secondo voi?
un paio di antivirus non hanno trovato nulla di sospetto, se non nella
cartella della quarantena.
Un antivirus on line non ha detto nulla.
rundll32 mi ricorda sircam, ma non lo trova da nessuna parte.
anti trojan non trova una cippa: Congratulations! No trojans have been
found in your system.
grazie a chi vorra' aiutarci 
-- 
**************************************************
            dalla periferia dell'impero
                    francesca b.
                      bolzano
**************************************************
rimuovi il gatto per rispondere via e-mail

 'Dr VB sample application: 
www.dr-vb.co.il
' from your computer wants 
to connect to 
mail.gns.co.il
 [192.114.70.35], port 25
mail.gns.co.il
 e' il record MX di 
gns.co.il
 ma, apparentemente, non ha 
nulla a che vedere con il dominio 
dr-vb.co.il
 e non e' un open-relay
conclamato. Pero' potrebbe essere il dominio di una dropbox in cui 
vengono spediti dati prelevati dalle macchine infettate e che, piu'
o meno incidentalmente, si trova anch'essa presso un provider israeliano 
(gns).
www.dr-vb.co
 sembra essere il sito di un guru di VB, noto anche come 
columnist di alcune riviste on-line e ml. Dico sembra perche' con 
l'ebraico me la cavo malino. Ma ci sono alcune cose che trascendono gli 
alfabeti, come... le caselle search. Proviamo internet.exe... nulla... 
server.exe... niet ...sample... bingo! Ecco gli esempi di codice. 
Vediamo un po'... ecco, direi che WinsockSample puo' essere un buon
candidato... download&decompress... et voila': server.exe. Si, be'... 
a ben vedere non c'entra molto con quello che hai trovato: il programma
e' molto semplice e non e' certo stato usato 'as is' ma potrebbe essere 
stato usato come base per scrivere qualcosa di piu' complesso e anche
la caption e' diversa. Potrebbe essere solo una delle versioni che 
circolano (con una delle ml a cui partecipa "dr vb" vengono distribuiti 
anche i sorgenti degli esempi, magari piu' ricchi di questo). Be', non 
abbiamo avuto fortuna, sono sempre informazioni in piu'.
Per completare il quadro sarebbe necessario (<con software>):
- vedere quali file sono coinvolti (filemon, handle)
- vedere quali voci di registro sono coinvolte (regmon)
- dare un'occhiata alle stringhe contenute negli eseguibili (strings,
  notepad, altri editor di testo o esadecimali, ma meglio dopo una 
  passata con 'tr -d \000' per vedere anche le stringhe unicode)
- vedere se e quali porte vengono aperte (netstat, fport, activeports)
- (opzionale - pericolo!) provare a vedere le sessioni smtp che vengono
  instaurate e con quali server, eventualmente con server fake.
- provare altri antivirus
- inviare gli eseguibili al sarc o altri servizi analoghi.
In questo modo dovresti riuscire almeno scoprire la dropbox, per 
avvertire il provider, e quali altri file e voci di registro cancellare. 
Se ti va bene puo' anche essere che un nuovo antivirus levi tutto da 
solo o che ti inviino un software dedicato per la pulizia.
Verifica bene che non sia roba lecita che hai installato tu ;-)
Fabio
PS: valuta di spostare il thread su it.comp.sicurezza.virus, che e'
    piu' attinente.

 ha scritto:
[megacut]
grazie Fabio per la tua risposta.
rimossi i due file e tutte le chiamate nel registro di configurazione
pare sia risolto il problema: il firewall non starnazza piu' e non ci
sono piu' porte strane in ascolto.
certo che non si sta mai attenti abbastanza!
ciao :)
