Newsgroup: it.comp.sicurezza.windows
Titolo: malware,spyware o che? help... :|

Da un paio di giorni a questa parte mi accade spessissimo che aprendo un
link in una nuova finestra del browser mi si visualizzi una pagina con un
collegamento a un sito porno... collegamento che parte in automatico dopo
poco. ho allegato l'html della pagina che mi si apre in fondo al messaggio.
In certi siti, ad esempio 
http://www.free-av.com/
, l'home page di spybot,
etc accade anche continuo a usare una sola finestra del browser.. insomma,
mi pare di aver capito che la cosa non sia random e probabilmente mi sono
beccato un malware che cerca di proteggersi.
l'home è impostata come blank, ho fatto una scansione con ad-aware e spybot
aggiornatissimi, provato l'hackeliminator  ma nulla... non si riesce ad
eliminare. che mi consigliate?
uh, grazie in anticipo :)
<HTML>
<HEAD>
<META HTTP-EQUIV="Refresh"
CONTENT="1;url=
http://www.cashz.info/cgi-bin/in.cgi?49&sid=6
">
</HEAD>
<BODY BGCOLOR=#0070A6 TEXT=#000000 LINK=#0000FF
VLINK=#800080><br><br><br><br><br><br><br><br><br> <br><br><br><center>
<A HREF="
http://www.cashz.info/cgi-bin/in.cgi?49&sid=6
"><b><font size=7
face="Comic Sans MS" color="#FFFF00
">ENTER</font></b></A></center>
<!-- SpyLOG f:0211 -->
<script language="javascript"><!--
Mu="
u5354.86.spylog.com
";Md=document;Mnv=navigator;Mp=0;
Md.cookie="b=b";Mc=0;if(Md.cookie)Mc=1;Mrn=Math.random();
Mn=(Mnv.appName.substring(0,2)=="Mi")?0:1;Mt=(new
Date()).getTimezoneOffset();
Mz="p="+Mp+"&rn="+Mrn+"&c="+Mc+"&t="+Mt;
if(self!=top){Mfr=1;}else{Mfr=0;}Msl="1.0";
//--></script><script language="javascript1.1"><!--
Mpl="";Msl="1.1";Mj = (Mnv.javaEnabled()?"Y":"N");Mz+='&j='+Mj;
//--></script><script language="javascript1.2"><!-- 
Msl="1.2";Ms=screen;Mpx=(Mn==0)?Ms.colorDepth:Ms.pixelDepth;
Mz+="&wh="+Ms.width+'x'+Ms.height+"&px="+Mpx;
//--></script><script language="javascript1.3"><!--
Msl="1.3";//--></script><script language="javascript"><!--
My="";My+="<a href='http://"+Mu+"/cnt?cid=535486&f=3&p="+Mp+"&rn="+Mrn+"'
target='_blank'>";
My+="<img
src='http://"+Mu+"/cnt?cid=535486&"+Mz+"&sl="+Msl+"&r="+escape(Md.referrer)+
"&fr="+Mfr+"&pg="+escape(window.location.href);
My+="' border=0 width=1 height=1 alt='SpyLOG'>";
My+="</a>";Md.write(My);//--></script><noscript>
<a href="
http://u5354.86.spylog.com/cnt?cid=535486&f=3&p=0
" target="_blank">
<img src="
http://u5354.86.spylog.com/cnt?cid=535486&p=0
" alt='SpyLOG'
border='0' width=1 height=1 >
</a></noscript>
<!-- SpyLOG -->
</BODY></HTML>

 eliminare. che mi consigliate?
http://www.microsoft.com/italy/technet/support/mvp/spy.asp
L'hai vista?
P.S. la "monnezza" appesa al tuo post da dove sbuca?
-- 
			Luca Amicone
			Microsoft MVP
			ICQ: 14890779

 P.S. la "monnezza" appesa al tuo post da dove sbuca?
č l'html della pagina che mi si apre in explorer, l'avevo anche scritto.
magari poteva aiutare a identificare di cosa si trattasse.

 magari poteva aiutare a identificare di cosa si trattasse.
prova a scaricare questo "coso" qui 
http://tinyurl.com/2hjj5
(per dettagli vedi 
http://tinyurl.com/3yx6k
) e vediamo cosa
esce fuori dalla scansione ...
Ciao
-- 
* ObiWan
DNS "fail-safe" for Windows 2000 and 9X clients.
http://ntcanuck.com
Support and discussions forum
http://ntcanuck.com/net/board
408 XP/2000 tweaks and tips
http://ntcanuck.com/tq/Tip_Quarry.htm

 esce fuori dalla scansione ...
Ops ... sorry ... link sbagliato, non è uno scanner (cmq fa
comodo lo stesso :-D) ad ogni modo ... scaricati il pgm
"hijackthis" (al limite anche startuplist) da questo link
http://www.spywareinfo.com/~merijn/downloads.html
e vedi cosa esce fuori ... ciao e.. scusa per il link errato

 e vedi cosa esce fuori ... ciao e.. scusa per il link errato
mmmmmh...beh casomai dovrei ringraziarti io,errato o meno almeno c'avresti
provato... :)
Cmq quel link per hijack l'avevo già trovato da google (gruppi e
non)...provando a vedere ogni sito che contenesse parole tipo spyware spy
etc etc ritornavo direttamente a quella finestraccia. adesso, non so perchè,
sembrerebbe essersi fermato... è assurdo! hijack oltretutto non rileva NULLA
di strano... mah.
Logfile of HijackThis v1.97.7
Scan saved at 19.22.09, on 25/03/2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)
Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\Programmi\Sygate\SPF\smc.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\System32\dslagent.exe
C:\WINDOWS\System32\CTHELPER.EXE
C:\Programmi\File comuni\Logitech\QCDriver3\LVCOMS.EXE
C:\Programmi\FreeRAM XP Pro 1.40.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Programmi\emule\emule.exe
C:\Programmi\Outlook Express\msimn.exe
C:\Documents and Settings\-\Desktop\HijackThis.exe
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar =
http://red.clientapps.yahoo.com/customize/ie/defaults/sb/ymsgr/*http://www.yahoo.com/ext/search/search.html
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page =
http://red.clientapps.yahoo.com/customize/ie/defaults/stp/ymsgr*http://my.yahoo.com
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar =
http://red.clientapps.yahoo.com/customize/ie/defaults/sb/ymsgr/*http://www.yahoo.com/ext/search/search.html
R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) =
http://red.clientapps.yahoo.com/customize/ie/defaults/su/ymsgr/*http://www.yahoo.com
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =
Collegamenti
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,Shellnext =
http://www.winrar.com
O2 - BHO: (no name) - {00C6482D-C502-44C8-8409-FCE54AD9C208} -
C:\Programmi\SnagIt 7\SnagItBHO.dll
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} -
C:\Programmi\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} -
C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: PopUpCop - {DB43E4E6-FF8A-4018-8C8E-F68587A44A73} -
C:\PROGRA~1\PopUpCop\PopUpCop.dll
O3 - Toolbar: SnagIt - {8FF5E183-ABDE-46EB-B09E-D2AAB95CABE3} -
C:\Programmi\SnagIt 7\SnagItIEAddin.dll
O4 - HKLM\..\Run: [DSLAGENTEXE] dslagent.exe USB
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\System32\NeroCheck.exe
O4 - HKLM\..\Run: [CTHelper] CTHELPER.EXE
O4 - HKLM\..\Run: [UpdReg] C:\WINDOWS\UpdReg.EXE
O4 - HKLM\..\Run: [Jet Detection]
C:\Programmi\Creative\SBLive\PROGRAM\ADGJDet.exe
O4 - HKLM\..\Run: [LVCOMS] C:\Programmi\File
comuni\Logitech\QCDriver3\LVCOMS.EXE
O4 - HKLM\..\Run: [SmcService] C:\PROGRA~1\Sygate\SPF\smc.exe -startgui
O4 - HKCU\..\Run: [FreeRAM XP] "C:\Programmi\FreeRAM XP Pro 1.40.exe" -win
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - Startup: Emule.lnk = C:\Programmi\emule\emule.exe
O4 - Startup: Modem ADSL B-QUICK.lnk = ?
O8 - Extra context menu item: Download with GetRight -
C:\Programmi\GetRight\GRdownload.htm
O8 - Extra context menu item: Open Image in New Window -
res://C:\Programmi\PopUpCop\popupcop.dll/imagenew
O8 - Extra context menu item: Open with GetRight Browser -
C:\Programmi\GetRight\GRbrowse.htm
O16 - DPF: ChatSpace Full Java Client 3.1.0.229 -
http://surechat.com:9000/Java/cfs31229.cab
O16 - DPF: {9F1C11AA-197B-4942-BA54-47A8489BB47F} (Update Class) -
http://v4.windowsupdate.microsoft.com/CAB/x86/unicode/iuctl.CAB?38044.4223958333
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) -
http://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab
O17 -
HKLM\System\CCS\Services\Tcpip\..\{0726F616-25C4-4F33-9325-169775C6DBCA}:
NameServer = 81.74.225.227 151.99.125.1
O17 -
HKLM\System\CS1\Services\Tcpip\..\{0726F616-25C4-4F33-9325-169775C6DBCA}:
NameServer = 81.74.225.227 151.99.125.1