Newsgroup: it.comp.sicurezza.windows
Titolo: Disinfettare un file infetto da virus con InocultateIt, come si fa?

Salve,
come da subject mi hanno consigliato questo antivirus perchè buono
e free, ho scaricato da internet un file .zip e il programma mi ha trovato
nello zip un eseguibile infetto. E' possibile in qualche modo disinfettare
il file? Se si come...
Grazie, saluti...
--------------------------------
Inviato via 
http://usenet.iol.it

il file? Se si come...
Dipende. Se e' quello che penso io, non credo si possa.
Che virus e'?
Leonardo
-- 
Linux PC is like South Pole igloo.
not get blue, not freeze to death, no Windows, no Gates,
and helluva penguins all around.

Che virus e'?
Scanning
file(s)...
C:\Temp\DrumStation.zip>DrumStation/Setup.EXE - Win32.Hybris.B
worm. 
C:\Temp\DrumStation.zip contains infected files.
Finished
scanning:	16:40:11, 10/05/2001
Number of files scanned: 7.
Number of
archives containing infected files: 1
Number of infections: 1
Number of
infected files not cleaned/deleted/renamed: 1
C:\Temp\DrumStation.zip>DrumStation/Setup.EXE (Win32.Hybris.B worm)
Dottore che ho? :)
Saluti...


worm. 
Allora, se SETUP.EXE e' lungo 23k, non c'e' modo di disinfettarlo
perche' e' TUTTO VIRUS, non c'e' rimasto nulla di sano. Guarda se
c'e' un altro file che potrebbe essere il vero setup.exe; e' solo
una speranza.


solo una
speranza.
Dunque, è uno zip, al cuiinterno ci sono 5 file, questi:
-
setup.txt
- setup.ex$ [3.072.000 Kb] (inoculate mi ha modificato le
estenzioni)
- setup.w02 [3.072.000 Kb]
- setup.w03 [2.377.450 Kb]
-
setup.exe [23.040 Kb]
Ora di qesti il setup vero non so più quale
potrebbe essere...


potrebbe essere...
IMVVVVVHHHHHHO: il SETUP.EXE di 23.040 Kb e' un virus (e
chissa' mai quale potrebbe essere, fra i millanta citati
nell'ultimo periodo in questa valle di lacrime).
Poscia, il SETUP.EX$ pol'esse il SETUP.EXE originale :-)

  setup.exe [23.040 Kb]
A me sembra che quel "setup.exe" (sono 23 Kb, non 23040 Kb, giusto?) sia
il virus, e che setup.ex$ sia il vero setup.
Prova ad estrarre ex$, w02 e w03, rinominare l'ex$ come exe, e vedere se
Inoculate si infuria.
Se NON si infuria, e' possibile che i files ora siano puliti.



cerca il prog da un'altra parte. 
il sito da cui l'hai scaricato, visto gli che gli archivi che propone
contengono virus, non e' attendibile. chissa' quale altra *erda potrebbe
esserci negli altri file.
ciao
-- 
maruko.cjb.net
 - Seti@Home applets
Designed for Windows 
Powered by Linux

Se NON si infuria, e' possibile che i files ora siano puliti.
Ma perchè mi rinomina quello buono e non quello infetto??


Ma perchè mi rinomina quello buono e non quello infetto??
Se (e sottolineo *se*) i file contenuti nello zip
non appartengono a directory diverse, poiche' non
si possono avere piu' file aventi uno stesso nome
nella solita directory, mi vien da chiederti come
fai ad essere sicuro che e' l'a.v. ad aver nomato
codello setup originale in ex$.



 ...e non invece il virus, troppo incapace per una
 corretta infezione di un EXE, ma abbastanza furbo
 per fare un rename() seguito da una chiamata alle
 ShellExtensions di WinZip: che, se hai un file di
 tipo ZIP, *MOLTO PROBABILMENTE* hai installato...


 Leonardo
Leonardo "Completante" ... Sorgemi atroce dubbio di
aver clamorosamente cannato qualcosa ... Ai posteri
l'ardua sentenza?

l'ardua sentenza?
Spiegante piu' che "completante". Non ho controllato
se Hybris faccia anche, con quei c***o di plugin, l'
infettatore di files ZIP, ma non sarebbe complicato.
E avere un SETUP.EXE lungo quanto Hybris, con un EX$
che sembrerebbe essere un SETUP originale, fa venire
anche a me lo stesso dubbio... "Siamo proprio sicuri
che sia stato Inoculate a rinominare l'EXE, anche se
logica chiederebbe che si rinominasse il file ZIP?".
Poi, ovviamente avevo un motivo recondito per quella
risposta, ma non penso di doverlo spiegare a te ]:-)
(Questo thread ha spazio per altri 18 follow-ups, e,
se seguiamo la netiquette, l'ultima parola spettera'
a me <bwahahahaha>).
Leonardo uno zinzino di fòri
-- 
ftp://warez.slashdot.com:12345
 - Warez for nerds. Stuff that matters.