Newsgroup: it.comp.sicurezza.windows
Titolo: LUNGO - Strani .exe visti da Kaspersky durante la navigazione, sono  infetto?

Ciao,
stavo navigando in Google Maps per visualizzare tutte le discoteche di
Milano quando Kasperky Internet Security 2009 se ne esce dicendo che
un certo file "j'allégerais.exe" proveniente da
http://updates.advert-network.com/binaries/check.php?tcpc=24218031
 è
stato messo in 'restrizione bassa'. Mi è preso un colpo, perchè non
stavo navigando in alcun sito pericoloso, avevo aperto solo Google
Maps con Firefox 2.0 e sulla colonna di sinistra alcuni nomi di
discoteche trovate da G.Maps a Milano con relativo segno sulla mappa.
Ho analizzato tutta l'attività del file e ho visto che ha fatto
questo:
04/06/2009 2.16.36	Modifica	HKEY_USERS
\S-1-5-21-448539723-515967899-725345543-1003\Software\Microsoft\Windows
\CurrentVersion\Internet Settings\Connections/SavedLegacySettings
04/06/2009 2.16.35	Accesso a dati interni del browser		Consentito:
KLPrivileges/KLPermissionSystem/KLPermissionSysObjAccess/
KLShellWindowsAcceess
04/06/2009 2.16.33	Crea	HKEY_USERS
\S-1-5-21-448539723-515967899-725345543-1003\Software\Microsoft\Windows
\CurrentVersion\Run/occmq
04/06/2009 2.16.32	Crea	HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows
\CurrentVersion\Uninstall\occmq/NoRepair
04/06/2009 2.16.32	Crea	HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows
\CurrentVersion\Uninstall\occmq/NoModify
04/06/2009 2.16.32	Crea	HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows
\CurrentVersion\Uninstall\occmq/NoRemove
04/06/2009 2.16.32	Crea	HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows
\CurrentVersion\Uninstall\occmq/UninstallString
04/06/2009 2.16.32	Crea	HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows
\CurrentVersion\Uninstall\occmq/DisplayName
04/06/2009 2.16.32	Crea	HKEY_LOCAL_MACHINE\REGISTRY\MACHINE\SOFTWARE
\MICROSOFT\WINDOWS\CURRENTVERSION\UNINSTALL\OCCMQ
04/06/2009 2.16.32	Elimina	C:\documents and settings\proprietario
\impostazioni locali\dati applicazioni\wyqyi.exe
04/06/2009 2.16.32	Elimina	HKEY_USERS
\S-1-5-21-448539723-515967899-725345543-1003\Software\Microsoft\Windows
\CurrentVersion\Run/wyqyi
04/06/2009 2.16.32	Avvio processo	C:\documents and settings
\proprietario\impostazioni locali\dati applicazioni\occmq.exe
04/06/2009 2.16.31	Inserito nel gruppo	Restrizione bassa
Per quanto riguarda quel file wyqyi.exe, ecco cosa ha fatto fino a
poco prima (cronologia dal giorno precedente, ha creato molti
file .js):
04/06/2009 2.16.32	Uscita processo	C:\documents and settings
\proprietario\impostazioni locali\dati applicazioni\wyqyi.exe
04/06/2009 2.16.29	Crea	C:\documents and settings\proprietario
\impostazioni locali\dati applicazioni\occmq.exe
03/06/2009 23.07.32	Crea	C:\documents and settings\proprietario
\impostazioni locali\Temporary Internet Files\Content.IE5\U8Y5OSEV
\Finding_ShowItems_e615i8748675_6_it_IT[1].js
03/06/2009 23.07.32	Crea	C:\documents and settings\proprietario
\impostazioni locali\Temporary Internet Files\Content.IE5\U8Y5OSEV
\Finding_Common_e617i8823120_6b_it_IT[1].js
03/06/2009 23.07.31	Crea	C:\documents and settings\proprietario
\impostazioni locali\Temporary Internet Files\Content.IE5\A2KG592S
\GlobalNav14_RtmDC_e611i8276132_1_it_IT[1].js
03/06/2009 23.07.29	Crea	C:\documents and settings\proprietario
\impostazioni locali\Temporary Internet Files\Content.IE5\A2KG592S
\GlobalNav14_EbayR2_e617i8823120_1_it_IT[1].js
03/06/2009 23.07.29	Crea	C:\documents and settings\proprietario
\impostazioni locali\Temporary Internet Files\Content.IE5\MXHX24HC
\Finding_Ajax_e617i8823120_3_it_IT[1].js
03/06/2009 23.07.28	Crea	C:\documents and settings\proprietario
\impostazioni locali\Temporary Internet Files\Content.IE5\U8Y5OSEV
\SYS14_vjo_e617i8823120_1_it_IT[1].js
03/06/2009 20.36.26	Modifica	HKEY_USERS
\S-1-5-21-448539723-515967899-725345543-1003\Software\Microsoft\Windows
\CurrentVersion\Internet Settings\Connections/SavedLegacySettings
03/06/2009 20.36.25	Accesso a dati interni del browser		Consentito:
KLPrivileges/KLPermissionSystem/KLPermissionSysObjAccess/
KLShellWindowsAcceess
03/06/2009 20.36.24	Avvio processo	C:\documents and settings
\proprietario\impostazioni locali\dati applicazioni\wyqyi.exe
03/06/2009 19.34.03	Uscita processo	C:\documents and settings
\proprietario\impostazioni locali\dati applicazioni\wyqyi.exe
03/06/2009 18.47.19	Crea	C:\documents and settings\proprietario
\impostazioni locali\Temporary Internet Files\Content.IE5\MXHX24HC
\jquery.validate[1].js
03/06/2009 18.47.19	Crea	C:\documents and settings\proprietario
\impostazioni locali\Temporary Internet Files\Content.IE5\U8Y5OSEV
\jquery.templating[1].js
03/06/2009 18.47.19	Crea	C:\documents and settings\proprietario
\impostazioni locali\Temporary Internet Files\Content.IE5\8MNBAFLV
\jquery.cascade.ext[1].js
03/06/2009 18.47.18	Crea	C:\documents and settings\proprietario
\impostazioni locali\Temporary Internet Files\Content.IE5\A2KG592S
\jquery.cascade[1].js
03/06/2009 18.47.18	Crea	C:\documents and settings\proprietario
\impostazioni locali\Temporary Internet Files\Content.IE5\MXHX24HC
\jquery[1].js
03/06/2009 18.42.33	Crea	C:\documents and settings\proprietario
\impostazioni locali\Temporary Internet Files\Content.IE5\MXHX24HC
\Finding_ShowItems_e615i8748675_6_it_IT[1].js
03/06/2009 18.42.32	Crea	C:\documents and settings\proprietario
\impostazioni locali\Temporary Internet Files\Content.IE5\U8Y5OSEV
\Finding_Common_e617i8823120_6b_it_IT[1].js
03/06/2009 18.42.31	Crea	C:\documents and settings\proprietario
\impostazioni locali\Temporary Internet Files\Content.IE5\U8Y5OSEV
\GlobalNav14_RtmDC_e611i8276132_1_it_IT[1].js
ecc....
Di questi eventi ne ho molti, e tutti con nomi strani. Ho fatto una
scansione con KIS poco fa ma non mi ha trovato virus. Il pc non è mio,
ma è del lavoro, e KIS ha la password di protezione. Che dite, cos'è
successo, sono infetto o le minacce rilevate non sono pericolose?
Grazie :-(

*Giulio Severini* bifonchio':
| Ciao,
|
| stavo navigando in Google Maps per visualizzare tutte le discoteche di
| Milano quando Kasperky Internet Security 2009 se ne esce dicendo che
| un certo file "j'all�gerais.exe" proveniente da
| 
http://updates.advert-network.com/binaries/check.php?tcpc=24218031
 �
| stato messo in 'restrizione bassa'. Mi � preso un colpo, perch� non
| stavo navigando in alcun sito pericoloso, avevo aperto solo Google
| Maps con Firefox 2.0 e sulla colonna di sinistra alcuni nomi di
| discoteche trovate da G.Maps a Milano con relativo segno sulla mappa.
| Ho analizzato tutta l'attivit� del file e ho visto che ha fatto
| questo:
|
| ecc....
|
| Di questi eventi ne ho molti, e tutti con nomi strani. Ho fatto una
| scansione con KIS poco fa ma non mi ha trovato virus. Il pc non � mio,
| ma � del lavoro, e KIS ha la password di protezione. Che dite, cos'�
| successo, sono infetto o le minacce rilevate non sono pericolose?
|
| Grazie :-(
Pulisci con CCleaner e sei a posto
-- 
Don Fizzy � on GSX-R 750  to repare
       /)/)
     (  '.')
   o(_('')('')