Newsgroup: it.comp.sicurezza.windows
Titolo: Dove si annidano i trojan..?

Salve a tutti e auguri di Buon Natale.
So che molti server di trojan se eseguiti sul proprio pc, modificano
naturalmente alcune chiavi del reg.. di conf. di windows ; ho sempre creduto
che la maggior parte si annidassero nelle solite
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run;
oppure in percorsi simili come
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
(tenendo conto ovviamente anche dei vari RunOnce ecc.)e che bastasse
cancellare le varie chiavi sospette per rimouvere il pericolo
Ieri però ho provato ad eseguire su una macchina che ho per vari test, il
server di Phoenix II (credo) nuovo trojan.Subito mi si è aperta il listening
sotto netstat la 7412.Ok Vado nei vari petrcorsi, cancello tutte le chiavi
sospette (nel moemnto in cui eseguivo il server,avevo regmon che mi
segnalava le modifiche al registro in tempo reale)e riavvio. Ma se vado a
eseguire il client ,e lo collego al "localhost", *si collega ancora!* com'è
possibile? eppure ho cancellato tutte le chiavi che lo eseguivano all'avvio
di win,cancellando anche i file al quale si riferivano!dove si nasconde
insomma questo trojan?Ho notato inoltre che alcune chiavi(ea nche dei file
su disco) si rigeneravano nel registro ,anche se eliminate in
precedenza.Alla fine ho dovuto cancellarlo solo tramite client , con il
comando unistall-kill.e solo così l'ho rimosso.Ci sono rimasto un pò male,
volevo essere io a rimouoverlo.
Un altra cosa che vorrei approfondire è conoscere le impostazioni del
server.Quando si scarica Phoenix II si costruisce il server sotto propri
parametri, tra cui si sceglie l'inidirizzo email di quel **nzo che ci
infetta. Gli arriveranno infatti un' email ogni qualvolta noi ci
colleghiamo, complete delle nostre password rubate dai pwl. C'è possibilità
di scovare questi indirizzi email ?Sarebbe un trionfo, poter sapere chi ci
ha infettati...!
Ringrazio anticipatamente chi potrà illuminarmi, rinnovando ancora gli
auguri!
Paolo

possibile?
Strano, qui 
www.dark-e.com/archive/trojans/phoenix/2128
, qui viene
indicato che si nasconde nella solita
'HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run'.
Puo' darsi che l'eseguibile controlli l'esistenza della chiave e la
ricrei.
-- 
Lapalissiano
Icq 57269703

Non è il phoenix di cui parlo io..o almeno non è la versione che io sto
analizzando!
Il mio è Phoenix II, rel. 1.80b. Il server occupa 216K e non 196K come dice
sul sito!
Se qlcuno ha altre info mi contatti, è importante!

analizzando!
Ciao, Paul! :-)
Ho fatto qualche test, e sono riuscito a rimuovere "a mano" il server di
Phoenix, senza usare il comando "Kill" del Client.
Il server e' un vero bast**do... copia se stesso varie volte.
Nel mio caso, si e' duplicato 4 volte con 4 nomi differenti.
- CTWDM16.EXE
- CTCHEKLV.EXE
- SSDPCACHE.EXE
dentro C:\WINDOWS
- ~p2.exe
dentro C:\WINDOWS\TEMP
Tutti e 4 vengono messi in esecuzione tramite il registro di
configurazione.
Per eliminare "a mano" il server ho dovuto:
- Passare un antivirus per identificare i files virali (nel mio caso:
AVP) e segnarmeli.
- Cancellare dal Regedit le voci ad essi relativi (/Run, RunServices,
RunOnce...)
- Riavviare in DOS
- Cancellare i files suddetti
Ora, avviato il client... TADAAA!!! Il server e' bello che sparito! :-)
Tie!
Invece, non e' possibile risalire all'indirizzo di chi ha spedito il
server: il codice HEX e' crittografato, ho gia' provato ad esaminarlo.
Non vi sono indirizzi E-Mail intellegibili, e c'era da immaginarselo.
Peccato... :-(
Spero che queste info ti possano essere utili.
Ciao! :-)
-- 
-----
  | NFINITY is so far as you want to see.
-----
Rimuovi "NOSPAM" dall'indirizzo per rispondere per E-Mail.
Infinity ICQ #100938216