Newsgroup: it.comp.sicurezza.windows
Titolo: SysOjk: come suicidarlo?

Aridaje con l'ennesimo rootkit, apparentemente annidatosi nel ramo 
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\SysOjk del registro di 
configurazione.
Non c'è verso di cancellare questa chiave, non è possibile modificare le 
autorizzazioni di accesso e/o modifica, nemmeno in modalità provvisoria.
Il programma freeware REGDELNULL non trova assolutamente niente ed io non so 
quali pesci pigliare per levarmi da torno questa roba che ad ogni avvio mi 
crea un eseguibile criptato dal nome casuale nella cartella 
C:\programmi\file comuni\services .
In questo momento sto battagliando per cercare una soluzione e come 
sottofondo musicale ho messo il CD con la colonna sonora di Shining, 
sperando che mi sia di buon auspicio.
Mi rivolgo a Voi tutti sperando in qualche aiuto. 


prova con gmer (
www.gmer.net
).
Ciao
pep
p.s. qualora gmer non trovasse niente prova ad elimare il servizio con 
'sc' da linea di comando usando la sintassi sc delete sys...

 'sc' da linea di comando usando la sintassi sc delete sys...
Gmer l'ho scaricato pochi istanti fa e proverò ad usarlo. NEl frattempo ti 
chiedo di spiegarmi meglio l'ultimo passaggio che mi hai suggerito (sc 
delete sys).
Grazie :-D 


sc e' una utility (di windows) con il quale puoi controllare i servizi e 
gli stati di quest'ultimi  (remoti e locali), con l'opzione delete 
dovrebbe riuscire a cancellarti il servizio.
La sintassi e' inanzitutto:
sc /?  ->tanto per capire
sc delete sysojk (o come diavolo si chiama quel servzio).
Ciao
pep

 sc delete sysojk (o come diavolo si chiama quel servzio).
Missione compiuta! SysOjk č stato suicidato ed ora il PC sembra pulito. La 
colonna sonora di "Shining" ed il tuo aiuto mi sono stati veramente utili.
Mi chiedo ora se esista un software che protegga in tempo reale da questi 
rootkits, piů o meno come un antivirus.
Mi chiedo anche come mai i governi mondiali non provvedano a far si che 
questi creatori di malware possano accoppiarsi carnalmente con persone del 
sesso opposto, cosě almeno avrebbero qualcosa di meno deleterio (č 
sicuramente piů utile per la loro autostima) da fare per la comunitŕ 
informatica.
Grazie ancora per l'aiuto. 

 sesso opposto, cosě almeno avrebbero qualcosa di meno deleterio (č 
Bravo, bella pensata! E se poi si riproducono?
-- 
           |Save our planet!
    Ciao   |Save wildlife!
   roberto |For your E-MAIL use ONLY recycled Bytes  !!
           |roberto poggi   
rpo...@softhome.net

 wmf.
aggiungi anceh gli ultimi:
http://www.securiteam.com/exploits/
ciao
pepp

 
http://www.securiteam.com/exploits/
Gli ho lasciato il 5%.
Finora, quelli passati di qui e in cui ho riconosciuto il metodo di
infezione usavano tutti il wmf.


 Bravo, bella pensata! E se poi si riproducono?
Esistono validi metodi contraccettivi (condom, spirale, pillola, vasectomia, 
legatura delle tube di Falloppio), i quali dovrebbero essere OBBLIGATORI per 
questi soggetti :-D
Ok farli zebare, ma che almeno non lascino scorie in giro.

 Grazie.
A dire il vero non lo so nemmeno io. Diciamo che i fatti salienti si possono 
riassumere in questi passaggi:
- individuazione da parte del firewall di più files dal nome casuale con 
estensione .EXE che ad ogni avvio venivano creati nella cartella 
C:\PROGRAMMI\FILE COMUNI\SERVICES (tali files risultavano criptati e non era 
possibile cancellarli in quanto in uso da qualcosa di indefinito); questi 
files cercano di comunicare con l'esterno o di appoggiarsi ad altri files di 
sistema;
- individuazione nel registro di configurazione di una chiave (SYSOJK nel 
mio caso ma potrebbe risultare qualunque altra cosa), anch'essa 
incancellabile ed inaccessibile; per ovviare a questo problema ho tentato 
due strade, e sinceramente non so dire quale sia stata la risolutiva, 
comunque ho utilizzato l'eseguibile REGDELNULL (scaricabile da Sysinternals) 
secondo la sintassi REGDELNULL HKLM -s e REGDELNULL HKCU -S, il quale 
individua chiavi di registro sospette e le cancella; i files in 
C:\PROGRAMMI\FILE COMUNI\SERVICES fanno riferimento alla chiave di registro 
di cui sopra;
- individuazione di un servizio (tramite il comando SERVICES.MSC) alquanto 
sospetto, nel mio caso SYSOJK, cammuffato da servizio che controlla 
l'utilità Diskeeper di Windows; tale servizio risultava protetto da password 
e relativo ad un account nascosto, dal nome casuale, che veniva creato 
all'avvio di XP. Mi è bastato cancellare manualmente tale account mentre per 
rimuovere tale servizio ho utilizzato il comando suggerito da Joy che 
consisteva nell'inserire la riga di comando "SC DELETE SYSOJK";
- al successivo riavvio del PC, essendo stato rimosso il servizio, è quindi 
possibile la rimozione di tale chiave dal registro di configurazione nonchè 
del file incancellabile in C:\PROGRAMMI\FILE COMUNI\SERVICES; a questo punto 
il PC dovrebbe (il condizionale è d'obbligo) essere pulito.
Ribadisco che non si tratta della sequenza esatta dei passaggi da me 
eseguiti per liberarmi da quel rootkit, dato che ho fatto più tentativi 
contemporaneamente e confusamente, ma quel che conta è che alla fine ci sono 
riuscito.
Auspico nell'arrivo di un utility che protegga "on the fly" da queste 
porcherie, in quanto l'antivirus spesso non si accorge di nulla e programmi 
come Ad-Aware e Spybot non rilevano nulla.
-- 
-
Mauro - ICQ 427762 - MSN 
mau...@hotmail.com
Il primo sito sulla locomotiva E636 -> 
http://www.e636.it