Newsgroup: it.comp.sicurezza.windows
Titolo: La pagina iniziale di IE

Ho win XP e nel gpedit.msc ho reso immodificabile la pagina iniziale di
Internet Explorer. In pratica se io vado in opzioni internet mi è
impossibile cambiarla. Però questa sera sono entrato in un sito che mi ha
cambiato la pagina iniziale, e mi ha installato anche un bel trojan (Trojan
horse Downloader.Delf.W). Ho firewall di XP attivato, AVG attivato, e tutte
le patch di XP installate.
Mi spiegate come hanno fatto?

 ha scritto nel messaggio
news:OwA%a.9311$zN5.2...@news1.tin.it...

Link del sito?

Mi spiegate come hanno fatto?
Usa un account guest x navigare su internet...
__
Togli la spina per rispondermi|Napoli, Italy 
Cut-off laspina to reply me   |Win2K+LinuxRH 

>Link del sito?
Il sito che mi veniva messo come hp era 
http://www.clavus.net/
 ed il trojan
č raggiungibile qui 
http://www.clavus.net/s.exe
ATTENZIONE AL TROJAN!!!

 ATTENZIONE AL TROJAN!!!
Hho provato a gironzolare un po'su quel sito e non è successo nulla.(inteso
come pagina iniziale modificata, non di proposte di scaricare exe)
Sicuro di non aver dato l'ok su qualche finestrella ;))
Cmq spero che la tua versione di ie non sia indietro come aggiornamenti
quanto il tuo oe.;)

 Mi spiegate come hanno fatto?
Non lo so ma potresti fare un favore a te stesso abbandonando IE
Prova Mozilla oppure Firebird ,così hai risolto storie di pagine 
iniziali, activex, dialer e altro....
Ti posto i download in IT
Mozilla 1.4 in italiano
http://ftp.mozilla.org/pub/mozilla/l10n/lang/moz1.4/mozilla-win32-1.4-itIT-installer.exe
Firebird 0.61 in italiano
http://ftp.mozilla.org/pub/firebird/releases/0.6.1/contrib-localized/MozillaFirebird-0.6.1-win32-itIT.zip
Cercavi la sicurezza vero?

> Ti posto i download in IT
Grazie!

 Mi spiegate come hanno fatto?
Come HAI fatto.
Eseguendo un programma con gli stessi privilegi con cui hai effettuato le 
impostazioni, *evidentemente* può sovrascriverle.
In generale, se esegui un trojan sul computer locale quella di chiedersi 
"come ha fatto" è una domanda retorica.

 iniziali, activex, dialer e altro....
Il link fa scaricare un normalissimo exe.

Il sito che mi veniva messo come hp era 
http://www.clavus.net/
 ed il trojan
"Download della risorsa specificata non riuscito"
Ma che roba e'???


 Il link fa scaricare un normalissimo exe.
Compresso con UPX, non rilevato da KAV, Trend Micro e Antivir.
Se qualcuno vuole verificare con Norton..o ancora meglio aprirlo e 
vedere che roba è, se è un downloader si spedisce ai produttori di AV
Non sarà un dialer ?


Io l'ho riscaricato ed avviato ma non c'e' traccia di virus. Però il
programma stabilisce 4 connessioni tcp con dei server remoti.
Io ieri da quella posizione mi sono scaricato il virus con lo stesso nome.
Se non mi credete fate come volete..

 Se non mi credete fate come volete..
Mi faccio un Cuba Libre per dimenticare...

 Io l'ho riscaricato ed avviato ma non c'e' traccia di virus. 
Ok, sei libero di fare tutti gli esperimenti che vuoi, ma non chiederti 
come ha fatto a cambiarti la pagina iniziale di IE. Una volta che *esegui* 
un programma può avvenire tutto quello che è consentito dai privilegi del 
tuo utente. E' bene tu lo sappia prima di incontrare qualcosa di peggio di 
un banale spyware.


Ad occhio direi un trojan o un psw-stealer. Fra le altre cose,
c'è dentro un elenco degli IP ai quali presumibilmente tenta
di connettersi:
69.65.31.18
69.65.31.11
63.246.130.170
205.177.124.66
63.217.31.20
63.217.31.10
64.191.95.60
66.111.36.80
62.129.133.22
62.129.136.157
A spanne sembrano tutti ammeregani. Ci sono anche delle
altre cose in chiaro, nomi di siti o forse coppie user-pass e
le API di sistema a cui si appoggia.
In questo momento non ho proprio tempo (e neanche molta
voglia [e soprattutto abbastanza capacità :-) ]) di sventrarlo
ulteriormente, lo invio alla Trend e vedremo che dicono loro.
Bye, G.

 ulteriormente, lo invio alla Trend e vedremo che dicono loro.
Lo ho mandato a Antivir e dopo 24 ore è nel database (The Trojan horse 
TR/Desex.B)