Newsgroup: it.comp.sicurezza.windows
Titolo: chiedo aiuto

Per sbaglio ho dato un click accettando qualcosa da un collegamento ad un
sito erotico, da allora tutte le volte che mi connetto in internet il pc
dopo un po' si disconnette dal mio server e si installa un programmino per
visitare quel sito a
pagamento. La cosa mi sta facendo letteralmente impazzire, anche perchè va a
avanti da un po'.
Il programma che viene installato ha questi numeri 5-2-46-112. E' un
WebdialerEUR_1,31_Min che si connette a  questo 166128838
Sono andato su Risorse del computer>Accesso Remoto e cancellato la
connessione creata da quel file..
Poi in Risorse del computer>Pannello di controllo>Installazione Applicazioni
e  disinstallato il programmino
Infine, come ultimo controllo, sono andato su  Start>Esegui e ho scritto:
msconfig, ho cliccato su "Esecuzione Automatica" e ho deselezionato il
programma e riavviato tutto.
Grazie per chi potrà aiutarmi, anche perchè fra un po' mi verrà un
esaurimento nervoso. Ciao

 ha scritto nel
messaggio news:1jPj8.1117$sP6....@tornado.fastwebnet.it...


 visitare quel sito a [......]
Chiama il 187 e fai disabilitare le chiamate verso i numeri *166*, cosi' la
prossima volta che sbagli a dare un click......stai parato :-)

 ha scritto nel messaggio
news:tSQj8.13355$%g7.3...@twister2.libero.it...


WebdialerEUR_1,31_Min che si connette a  questo 166128838
'sticazzi, 1.31 cocuzze al minuto! :-(
Bah, prova a cercare 128838 usando REGEDIT.
Leonardo

 ha scritto nel messaggio
news:95nv8u4848l6p1b55...@L.Serni...


 effettuata se io non eseguo un click per connettermi. [.......]
Solo che se tu ti connetti scatta la connessione all' 166 ;-)
Stiamo li'.
Scusa ma a me non e' mai successo. E' capitato all'altra ragazza che abita
con me e che ha un altro pc con cui si collega ad internet-->ci siamo viste
arrivare per 2 volte di seguito queste famigerate telefonate all'166. Le
abbiamo disabilitate.
Almeno cosi' sei sicuro che il tuo pc non cambiera' piu' connessione.
PS: se continui a postare qui cosi' ti cazzieranno per il *quoteé che NON
fai ;-)

 traccia....
Un giorno ho avuto a che fare con un pc di un tizio che dopo essersi 
collegato ad un sito 'particolare' ed essersi cuccato un eseguibile 
si trovava con la pagina iniziale di internet explorer perennemente 
instradata su una  pagina hard. Anche ripristinando 'pagina vuota', 
al successivo riavvio di windows il problema permaneva. Analizzando 
il contenuto del regedit non appariva alcun riferimento a tale home 
page. Ho quindi esaminato tutti i file alla ricerca della stringa 
corrispondente al sito in questione  e trovai una strana dll che la 
conteneva. In pratica nel registro c'era un richiamo a tale dll nella
sezione
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
creata appositamente immagino, visto che normalmente non dovrebbe 
esistere.
Elimnata la dll e la voce di registro che la richiamava il difetto è 
sparito. Molto probabilmente (immagino) quel dialer utilizza un 
meccanismo simile.
-- 
News2000 1.5ß Version 
http://socket2000.8m.com

 ha scritto nel messaggio
news:8u_j8.14969$1S3.4...@twister1.libero.it...


scusa la mia ignoranza, ma cosa è il quotè che non faccio?
http://www.marco5x.net/usenet/quoting.php
http://web.tiscali.it/mom/usenet-it/faq/quotaggio.txt
-- 
Lapalissiano
Icq 57269703

 meccanismo simile.
Ho passato un intera giornata a cercare la dll, sono riuscito ad eliminare
le voci che contenevano il numero del webdialer, ma la situazione non è
cambiata.
Spero di aver perlomeno imparato a quotare. Se hai qualche altro
consiglio...

 cambiata.
Non è necessario sia proprio una dll! Usando il 'trova file' di 
windows basta inserire in 'testo contenuto' una parte del numero di 
dialer, per esempio, ed avviare la ricerca su tutti i file dell'hard 
disk... Non dovrebbe metterci una giornata! I/l file/s sospetti 
trovati possono fungere da chiave di ricerca all'interno del 
registro. In ogni caso è senza dubbio qualche cosa che si insinua 
nella chiave RUN o RUNSERVICES, tipo
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
oppure
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServic
es
oppure ancora potrebbe scriversi in win.ini, nella chiave load= 
oppure run=


oppure run=
Io ho dei dubbi, invece. Potrebbe aver sostituito/modificato lo strato
TAPI, e se e' cosi' non ha piu' bisogno delle RunKeys per vivere.
Andrebbero cercati tutti i files contenenti quel numero senza prefisso
(per sicurezza). Occhio che SYSTEM.DAT, SYSTEM.DA0, USER.DAT, USER.DA0
sono pezzi importanti di Windows, e vanno lasciatissimi stare.
Se il file e' del tipo C:\WINDOWS\SYSTEM\TAPI*.* - sei nella... mmm...
be', diciamo che non e' Nutella [1].
Leonardo
[1] almeno, io ho avuto un problema simile facendo il furbo con alcuni
    files del TAPI, e ancora non sono riuscito a reinstallarli. Volevo
    proprio vedere se si poteva fare quello scherzo li'. Be', si puo'.

 sono pezzi importanti di Windows, e vanno lasciatissimi stare.
Pensavo di aver risolto il problema e di aver rimosso tutti i file dopo aver
battuto a tappeto il regedit. Non era così, oggi il programma si è
installato automaticamente di nuovo, addirittura stamani non ero neanche
connesso e una finestra mi chiedeva il collegamento internet a questa
pagina. Sono ripartito con le ricerche usando il regedit. Una volta l'ho
trovato nella chiave RUN, altre 3 voci compaiono in
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\UserAss
ist\Count
nel seguente modo:
HRZR_EHACNGU:P\JVAQBJF\5-2-46-112.rkr
HRZR_EHACNGU:P\JVAQBJF\Qrfxgbc\5-2-46-112.rkr
HRZR_EHACVQY:P\JVAQBJF\Zrah Niib\5-2-46-112.yax
Non ho idea di cosa si tratti, volevo chiedere se le posso rimuovere
tranquillamente. 5-2-46-112 è il numero del webdialer, mentre facento una
ricerca levando il 166 e mettendo il numero collegato la ricerca non ha
nessun esito. Grazie

tranquillamente.
Si'.
Leonardo

 ma ce ne sono tre.
Ho rimosso tutto quanto, ma stamani il webdialer si č di nuovo inserito
cambiando numero: 5-2-46-59
E' incredibile. Ho fatto di nuovo tutte le operazioni eseguite
precedentemente. Mi sembra una lotta senza quartiere.

 tranquillamente. 5-2-46-112 è il numero del webdialer, mentre facento una
Non farti fregare, quelle chiavi sono in ROT 13:
UEME_RUNPATH:C\WINDOWS\5-2-46-112.exe
UEME_RUNPATH:C\WINDOWS\Desktop\5-2-46-112.exe
UEME_RUNPIDL:C\WINDOWS\Menu Avvo\5-2-46-112.lnk
;)
...e dopo danno a me del lamer per la codifica! ;)
-- 
HappyCactus - Registered Linux User #209744
http://utenti.tripod.it/happycactus
Made with 100% recycled electrons

 precedentemente. Mi sembra una lotta senza quartiere.
MI puoi spedire in mail il dialer, zippato, please? gli do' una occhiata 
e vediamo se c'e' materiale per foxxere questi stronxi
happycactus (at) genie (dot) it


e vediamo se c'e' materiale per foxxere questi stronxi
Guarda e inorridisci: uggc://jjj.0190-qvnyre.pbz/qvnyref/
Leonardo
-- 
ftp://warez.slashdot.com:12345
 - Warez for nerds. Stuff that matters.

 Guarda e inorridisci: uggc://jjj.0190-qvnyre.pbz/qvnyref/
GULP! :X
Sono senza parole.
1.5Mb di download, solo per la lista.


Guarda e inorridisci: uggc://jjj.0190-qvnyre.pbz/qvnyref/
Server: Apache/1.3.22f (Unix) PHP/4.1.0
...notevole.
inetnum:      62.4.93.0 - 62.4.93.255
netname:      INTERNET-SOLUTIONS
descr:        internet solutions GmbH
descr:        Frankfurter Str. 1-5
descr:        65760 Eschborn
descr:        Germany
country:      DE
admin-c:      RK257-RIPE
tech-c:       RK257-RIPE
status:       ASSIGNED PA
notify:       
r.k...@keen-online.com
notify:       
li...@abovenet.de
mnt-by:       ABOVENET-P
changed:      
c...@abovenet.de
 20010409
source:       RIPE
Il programma in questione ho la viva impressione sia compresso con UPX
1.2w. Oops: ERA compresso (un tragico incidente, vous savez).
Dentro, c'e' uno stupefacente miscuglio di tedesco, inglese, spagnolo,
e chi sa cos'altro (il primo webdialer in Europanto! Wow!)
Klicken Sie trennen...
...dialing...
...authenticating...
La Conexiòn fue interrumida...
...piparen verboten...
In case of any problems with this service please e-mail
ser...@ebs-ag.de
 or call 
+49 2173 2738 560
.
I also verify that I an fully responsible for paying all telephone line
charges associated with this service.
My interest in this material is personal, and not professional. I am not a
law enforcement agent or US Postal Official or acting as an agent thereof,
attempting to obtain any evidence for the prosecution of any individual or
corporation or for the purpose of entrapment.
Quest'ultima clausola sinceramente e' *SPLENDIDA*. Ma c'e' di meglio:
"I desire to receive and have not notified the postal service or any other
government agency to intercept..."
E ora si arriva alla parte succulenta (io ci vedo chiavi HKLM, non so voi)
Start Page
Software\Microsoft\Internet Explorer\Main
AutoConnect
RemoteAccess\Profile\
SMTP Email Address
Software\Microsoft\Internet Account Manager\Accounts
InternetReadFile
HttpQueryInfo
InternetCloseHandle
HttpSendRequest
HttpOpenRequestA
InternetConnectA
InternetOpenA
wininet
Microsoft Internet Explorer
Apprezzabile l'icona con la signorina che si domanda dove diamine e' andato
a finire quel Tampax.
Lanciato in condizioni di sicurezza (con un pregevole modem "S(t)upramodem"
fornito dal team di VMWare), riconosce abilmente di trovarsi in Italia e mi
propone subito un bel "Connect".
Per l'Italia, si collega al 166-128838, e NON fa vedere alcuna licenza. Per
cui, uno non e' tenuto a dire che sta lavorando in qualita' di assistente o
attaché di polizia giudiziaria (dico per dire).
Secondo le tariffe fornitore di EBS (Electronic Bugg^H^H^Hilling Systems)
http://www.ebs-ag.de/index.php?page=front_page&pid=pls:products&pnr=88&temptype=cont#Italien
mi pare che loro offrano 0,27 EUR al minuto per ciascun pollo, il quale nel
minuto de cuius si vede alleggerito di 1,31 EUR. Il resto sara' spartito da
Telecom ed EBS, suppongo.
Si puo' chiedere ad EBS come esorcizzare il loro mostriciattolo.




Quando il programma si installa, puoi vedere come si chiama (in C:\WINDOWS)
usando il programma AVP System Monitor (
www.avp.it
).
A questo punto apri una shell MS-DOS, vai in C:\WINDOWS, e digita
	NOMEPROGRAMMA -m -u
...questo dovrebbe disinstallarlo. "Dovrebbe" perche' l'opzione non sembra
essere documentata.


essere documentata.
Se ho ben capito devo installare il programma avpd134a.zip (2,46 MB) per
MS-DOS.
Il nome del programma che si installava era sempre il numero del webdialer.
Grazie ancora.
Marco

 MS-DOS.
Uh, da cosa lo deduci?
Penso intendesse che devi lanciare il webdialer con quelle opzioni che ti 
ha indicato. 
BTW, controllerei il valore della pagina iniziale di IE, considerato che 
potrebbe puntare ad una pagina "maliziosa" che reinstalli il webdialer.
Te lo dico non perche' l'abbia provato, ma le segg. stringhe nel dialer 
che hai anche tu mi dan da pensare
Start Page
Software\Microsoft\Internet Explorer\Main
-- 


Il nome del programma che si installava era sempre il numero del webdialer.
Allora non ti serve forse AVPSW, puoi fare da te:
	Avvio (o Start) --> Esegui --> COMMAND (invio)
ti ritrovi al prompt del MS-DOS, digiti
	C:
	CD \WINDOWS
	DIR 5-4-147.EXE		(o come si chiama)
e, se lo trova,
	5-4-147 -m -u
quindi, in ogni caso,
 
	EXIT
per chiudere la finestrina del Command. A questo punto il mostrillo se
ne dovrebbe essere andato (il condizionale e' d'obbligo).
Altrimenti cerca anche eventuali files che contenessero la parola UPX,
e dicci i nomi. E' la stringa del programma che il dialer usa per fare
l'òmo invisibboli. Potresti avere ALTRI programmi che la usano per dei
motivi meno loschi, quindi NON cancellare a tappeto tutto quel che hai
trovato: prima parliamone :-)))


 e vediamo se c'e' materiale per foxxere questi stronxi
Questo è il webdialer, e si è inserito nuovamente il bastardo

 Altrimenti cerca anche eventuali files che contenessero la parola UPX,
Ne ho trovati una marea, ti riporto i primi:
HKEY-CLASSES-ROOT-INFFILE-DEFAULTLCON-SHELL-INSTALL-COMAND
predefinito c:\windows\rundlll.exe.setupx.dll,InstallHinfSectionDefa..
HKEY-LOCAL-MACHINE-SOFTWARE-CLASSES-MICROSOFT-ACTIVE SETUP - INSTALLED
COMPONENTS - CA0A4247-44BE-11d1-1005-00805I8ABE06
StubPath  RundDLL.setupx.dll.Install HinfSection Powercfg0powercfg.inf
stessa chiave APPLETS PER USER
rundll.exec:1windows1SYSTEM\ setupx.dll,InstallHinfSectionAppletsPerUser 64.
C:windows\INF\applets.inf
e ancora in tutte le successive
FONT PER USER
MMPT UNGLE PER USER
MUSICA ecc.
Sto dando i numeri
Marco

Non vorrei assillarvi, ho lasciato reinstallare il programma, ho fatto le
solite procedure, disinstallato, ripulito con il redegit, ma con il semplice
TROVA  file risulta presente in windows, e risulta presente anche con la
ricerca sul dos. Una volta trovato nel dos appare questa dicitura che non so
se può essere importante
Il volume nell'unità C non ha etichetta. Numero di serie del volume:
2C62-18ED directory di C:\Windows.
Non so se questo numero di serie può essere importante.
Se dovessi cancellarlo dal TROVA file mi si dice che è impossibile trovare
il file ma mi rimane quel numero di serie.
Marco

 Sto dando i numeri
Semplicemente non hai capito: 
Leo ti ha chiesto di cercare i files (f-i-l-e-s) *contenenti* la parola 
UPX, non le voci di registro (regedit) contenenti upx!
Devi usare il tool "trova file" di windows


 UPX,
SETUPX32.DLL
SETUPX.DLL
entrambe in C:\WINDOS\SYSTEM
ma non riesco ad aprirle.

Ne ho trovati una marea, ti riporto i primi:
No, scusami. Mi sono espresso male. Intendevo nel corpo del file e non
nel nome.
Vai su "Trova files e cartelle", e metti:
	Nome                     : *.EXE
	Opzione "Testo Contenuto": UPX
	Dimensione [MASSIMA]     : 512 KB
Su tutti i dischi. Questo dovrebbe trovare *parecchi* files in meno, e
darti un elenco tipo
Nome         Nella cartella     Dimensione
pippo.exe    c:\windows         142 KB
...          ...                ...
 
...ci interessa quell'elenco, soprattutto la "Data di modifica". Penso
che il webdialer abbia una data piuttosto recente.
Leonardo

 che il webdialer abbia una data piuttosto recente.
Sono risultati una manciata di files, e la data di modifica è vecchia di
almeno un anno. Ho dato un'occhiata guardando le date di creazioni e
modifica e nella versione il nome della società. Ho guardato anche la lingua
e non c'è niente di tedesco, mi sembrano tutte cose regolari. Credi che
contenga realmente la parola UPX? Si può fare una ricerca per data di
creazione?

 end

Forse è la volta buona? Ho scritto una e-mail a EBS con toni abbastanza
duri. Proverò questa sera a casa. Cosa ne pensate?
Data:    21/03/2002 08:21
  Da:    customer care center
  A:    Marco
  Cc:    Customer Care Center
  Oggetto:    uninstall dialer
 Dear Customer,
thank you for contacting Customer Care Center. We are pleased to help you
with your concern. If you want to remove the Webdialer from your Computer,
please use the link attached below.
http://www.0190-dialer.com/uninstall/uninstall.exe
We hope we did everything to your satisfaction.
Thank you!
Klaus Frietsch
Customer Care Team
ebs Electronic Billing systems AG
Lilienthalstraße 5
85399 Hallbergmoos
Phone: 
+49(0)811/5546370
Fax:      
+49-811-5546-136
email: 
ser...@ebs-ag.de
http://www.ebs-ag.de

...


 duri. Proverņ questa sera a casa. Cosa ne pensate?
Mi sono illuso troppo presto, non č servito a un c....








 5-2-46-112
 webdialer 
openme 









 
http://www.moosoft.com/
 

 
http://tomcoyote.com/lsindex.html
 

 
http://www.scumware.com/




a much easier solution:
www.lavasoftusa.com
Ad-Aware released a new update, 3/14/02 that is supposed to remove the
Morpheus virus. Also download the RefUpdate... that makes updating
signature file easy.
Make sure your signature file in use is: 086-14.03.2002
This seems to clean some addition files that weren't picked up by the
last version.
Hope this finally works... BTW, the firewall does prevent the
popups... so that is a good temp solution.
Good luck... hopefully this will be my last post!
Anoop