Newsgroup: it.comp.sicurezza.windows
Titolo: qualcosa vuole comunicare all'esterno... aiuto!

Ciao,
sono un po' preoccupata perché credo di avere un trojan o qualcosa del
genere nel mio PC.
Oggi pomeriggio ho installato un programmino nel PC e da allora,
appena Windows XP è caricato, compare una finestra di connessione
remota. Ho provato a connettermi e il firewall mi ha bloccato un
programmino di nome autoupdate2.exe che tentava di collegarsi con non
solo quale indirizzo sulla porta 80. Ho provato a digitare tale
indirizzo sul mio browser web ed è comparsa una scritta "get out!"...
direi significativa! :(
Dimenticavo: quando ho installato il programmino malefico, sono stata
così furba da disabilitare il firewall e l'antivirus, affinché non
interferissero con l'installazione... ok, ok, cospargete sale sulla
ferita e ditemi che sono stata una pirlina!
E come se non bastasse ho fatto una scansione della "system area" con
AVG e ha trovato 3 file (uno dei quali mi sembra fosse user32.dll) che
sono stati modificati rispetto alla precedente scansione!
Vi chiedo scusa per questo lungo post, ma vorrei sapere cosa è
successo al mio PC e quale rimedio posso applicare.
Graaaaaaaaazie,
una Nina preoccupata e che non disabiliterà MAI più antivirus e
firewall!

 Vi chiedo scusa per questo lungo post
Lungo, anche il doppio, non sarebbe un problema in sč... sono
le informazioni che mancano. Avevo appena ritirato la sfera di
cristallo che mio cuGGino l'ha presa in prestito e non me l'ha
piů ridata, capisci... senza la sfera, per sapere cosa sta succedendo
sul tuo PC, dobbiamo basarci su quello che dici tu.
Bye, G.

Grazie del tuo reply.
 
Il programmino era un codice di attivazione.
L'indirizzo a cui tenta di connettersi č 83.149.104.56 sulla porta 80.
Non ho lasciato che si connettesse. Ho bloccato questo strano
"autoupdate2.exe" con Kerio.
AVG dice solo che ci sono tre DLL modificate rispetto all'ultima
scansione:
user32.dll
shell32.dll
ntoskrnl.dll
Cosa ne pensate? Come faccio a pulire il PC? Servirebbe Spybot o
l'antispyware della Microsoft?
Ciao,
Nina


 ha scritto nel messaggio 
news:7nrcn1ptl6hdv7nn6...@4ax.com...

cercando con google autoupdate2.exe si trova ben poco
tranne un forum scritto in cirillico e questo sito
http://www.promasy.nl/public/
Qualcuno che conosce il cirillico potrebbe tradurre :-)
Comunque puzza lo stesso.

 Nina
 Fai scansionare il programmino da virustotal
www.virustotal.com
Comunque era un codice di attivazione di che cosa?
Era un crack forse?

 l'antispyware della Microsoft?
Ti serve di passare nell'ordine un antivirus e un antispyware, uno dei
due qualcosa deve trovare.

Ciao ragazzi,
grazie per le vostre risposte.
Per riparare il danno ho fatto queste operazioni in sequenza:
1) con regcleaner ho eliminato dall'avvio l'esecuzione di
autoupdate2.exe
2) ho cancellato fisicamente 'sto update2 (era in windows32)
3) ho installato spybot e questo non ha trovato niente. Forse era
meglio installarlo prima delle due operazioni precedenti, ma se io non
faffio qualcosa di storto non sono contenta :)
4) con il CD din windows ho ripristinato il sistema, per sostituire le
tre  DLL modificate.
Ora sembra tutto ok. All'avvio, Windows non tenta più di connettersi
con una conessione remota.
Ciriciao e grazie ancora,
Nina
