Newsgroup: it.comp.sicurezza.windows
Titolo: [LUNGO] GURxxx.EXE - possibile trojan?

Ciao,
la storia: ho da poco riesumato la copia di XP HOME che mi è stata
installata dalla ACER con il notebook che comprai nel 2004... l'ho
riesumata con il Recovery CD della stessa Acer.
Dopodichè ho provveduto a modificare passo passo il sistema come
segue:
02.04.2010
1. RIPRISTINO SISTEMA CON ACER RECOVERY CD
2. INST. WINDOWS XP SP2 ORIGINALE
3. BACKUP IMMAGINE: 2010.04.02.WINDOWS.XP.HOME.FAT32.SP2
03.04.2010
1. INST. WINDOWS XP SP3 ORIGINALE
2. BACKUP IMMAGINE: 2010.04.03.WINDOWS.XP.HOME.FAT32.SP3
06.04.2010
1. CONVERSIONE FILE SYSTEM DA FAT32 AD NTFS
2. BACKUP IMMAGINE: 2010.04.06.WINDOWS.XP.HOME.NTFS.SP3
11.04.2010
1. INST. USB Receiver Driver (mouse Logitech)
2. INST. AVIRA ANTIVIR FREE + quick scan del sistema (OK)
3. INST. ONLINE ARMOR FREE
4. INST. 3 PENDRIVE
5. INST. CCLEANER + scansione e pulizia (OK)
6. DIS. PROGRAMMI PREINSTALLATI:
   Acrobat Reader 5.0
   Aspire 1350 Screensaver
   INDEO Software (eliminazione manuale delle cartelle e delle chiavi
di registro + eliminazione da elenco applicazioni)
   NTI CD & DVD Maker
   PowerDVD
   Componenti Windows:
                      Windows Messenger
                      Windows Media Player
                      OE Express
                      MSN Explorer
7. INST. AGGIORNAMENTO WINDOWS KB898461
8. INST. 7 Zip
9. INST. AIMP 2 (Portable) + AIMP2 TOOLS
10.INST. GIMP
11.INST. HASHCALC
12.INST. INFANVIEW + Plugins
13.INST. INKSCAPE
14.INST. MAGIC DISC
15.INST. MUSESCORE
16.INST. OPEN OFFICE
17.INST. OPERA
18.INST. TRUECRYPT (Portable)
19.INST. VLC (Portable)
20.INST. AGGIORNAMENTO WINDOWS KB960225
21.DISATTIVAZIONE SYSTEM RESTORE
22.BACKUP IMMAGINE: 2010.04.11.WINDOWS.XP.HOME.INCREMENTAL01
12.04.2010
1. WINDOWS UPDATE - DOWNLOAD ED INSTALLAZIONE DI 64 AGGIORNAMENTI PER
WINDOWS
2. MODIFICATE OPZIONI IN 'OPZIONI RISPARMIO ENERGETICO'
3. BACKUP IMMAGINE: 2010.04.12.WINDOWS.XP.HOME.INCREMENTAL02
4. MODIFICATA ORA DI SISTEMA - 1h avanti
5. WINDOWS UPDATE - DOWNLOAD ED INSTALLAZIONE DI 4 AGGIORNAMENTI PER
WINDOWS
6. BACKUP IMMAGINE: 2010.04.12.WINDOWS.XP.HOME.INCREMENTAL03
17.04.2010
1. INST. FRAMEWORK .NET 3.5 + KB958484
2. BACKUP IMMAGINE: 2010.04.17.WINDOWS.XP.HOME.INCREMENTAL04
3. WINDOWS UPDATE - DOWNLOAD ED INSTALLAZIONE DI 12 AGGIORNAMENTI PER
WINDOWS
4. WINDOWS UPDATE - DOWNLOAD ED INSTALLAZIONE DEL NET FRAMEWORK 3.5SP1
(aggiornamento molto lento ad installarsi)
5. WINDOWS UPDATE - DOWNLOAD ED INSTALLAZIONE DI 6 AGGIORNAMENTI PER
WINDOWS (tra cui WMP 11)
6. INST. 4 AGGIORNAMENTI PER WINDOWS
7. CONVALIDA COPIA WINDOWS MEDIA PLAYER 11 (che si è immediatamente
bloccato)
8. INST. CDBURNER XP
9. INST. HANDBRAKE
10.INST. EAC 0.99PB5
11.INST. FOXIT READER
12.INST. MONKEY'S AUDIO
13.INST. UNLOCKER 1.8.9 (?)
14.INST. SMSLISTO
15.INST. SKYPE
16.INST. FLASH PLAYER (Opera)
17.INST. FLASH PLAYER (IE)
18.AGGIORNAMENTO FIRME AVIRA ANTIVIRA FREE
19.WINDOWS UPDATE - DOWNLOAD ED INSTALLAZIONE DI 4 AGGIORNAMENTI PER
WINDOWS
20.WINDOWS UPDATE - DONWLOAD ED INSTALLAZIONE DRIVER SCHEDA DI RETE
VIA
21.WINDOWS UPDATE - DOWNLOAD ED INSTALLAZIONE DELL'ACTIVEX MICROSOFT
UPDATE
22.BACKUP IMMAGINE: 2010.04.17.WINDOWS.XP.HOME.INCREMENTAL05
19.04.2010
1. ESECUZIONE AUTOMATICA: NO '3 ITALIA'; NO 'SMSLISTO'
2. SKYPE: AUTENTICAZIONE E TEST AUDIO OK
3. INST. ACTIVEX PER CLEARTYPE
4. INST. MICROSOFT SILVERLIGHT
5. INST. LLA DRIVER (CPUMSR)
6. INST. UNLOCKER
7. INST. GOOGLE EARTH (impostati colori di sistema a 32bit)
8. INST. ERASER
9. INST. FLAC FRONTEND (X)
10.INST. HALITE TORRENT
11.INST. DVD DECRYPTER
12.INST. DVD SHRINK
13.INST. SHEELEXVIEW
14.INST. POWERTOYS
15.SYSINTERNALS: AUTORUNS, PROCESSEXPLORER, PROCESSMONITOR, FILEMON,
DISKMON, DISKVIEW, TCPVIEW
16.PULIZIA DI SISTEMA: CANCELLATI FILE IN \Documenti\SYSTEM, CREATA
CARTELLA C:\SYSTEM, COPIATI FILE ESSENZIALI
16.BACKUP IMMAGINE: 2010.04.19.WINDOWS.XP.HOME.INCREMENTAL06
Come vedete trattasi di software opensource o cmq libero o cmq
*legacy*, controllato di continuo da Avira Antivir Free sempre
aggiornato, con Online Armor Free sempre attivo, XP originale
finalmente aggiornato, ecc...ecc...
Niente software craccato, niente di niente, perchè queste immagini
sono pressochè fresche.
Il sistema, poi, stando a Gmer.exe, a Catchme.exe (di Gmer), ad Avira
Antivir Free è pulito, ed è ovvio visto trattasi di XP originale e
software libero, o opensource.
Eppure cosa ti trovo nel registro eventi INFORMAZIONI di Windows?
Questo:
Tipo evento:	Informazioni
Origine evento:	BITS
Categoria evento:	Nessuno
ID evento:	16384
Data:		19/04/2010
Ora:		10.21.56
Utente:		N/D
Computer:	GIULIOCASA
Descrizione:
L'amministratore NT AUTHORITY\SYSTEM ha annullato il processo "C:
\WINDOWS\TEMP\GUR2.exe" per conto di GIULIOCASA\GIULIO. L'ID del
processo è {BBFD8E73-3154-4660-A212-177E6CA30235}.
Per ulteriori informazioni, consultare la Guida in linea e supporto
tecnico all'indirizzo 
http://go.microsoft.com/fwlink/events.asp
.
Tipo evento:	Informazioni
Origine evento:	BITS
Categoria evento:	Nessuno
ID evento:	16384
Data:		19/04/2010
Ora:		10.41.30
Utente:		N/D
Computer:	GIULIOCASA
Descrizione:
L'amministratore NT AUTHORITY\SYSTEM ha annullato il processo "C:
\WINDOWS\TEMP\GUR1.exe" per conto di GIULIOCASA\GIULIO. L'ID del
processo è {2EB2B7E4-685D-4953-BD11-5335105E7B93}.
Per ulteriori informazioni, consultare la Guida in linea e supporto
tecnico all'indirizzo 
http://go.microsoft.com/fwlink/events.asp
.
Tipo evento:	Informazioni
Origine evento:	BITS
Categoria evento:	Nessuno
ID evento:	16384
Data:		19/04/2010
Ora:		10.41.32
Utente:		N/D
Computer:	GIULIOCASA
Descrizione:
L'amministratore NT AUTHORITY\SYSTEM ha annullato il processo "C:
\WINDOWS\TEMP\GUR2.exe" per conto di GIULIOCASA\GIULIO. L'ID del
processo è {FC55ABEA-BF91-492B-847D-146E41198BAB}.
Per ulteriori informazioni, consultare la Guida in linea e supporto
tecnico all'indirizzo 
http://go.microsoft.com/fwlink/events.asp
.
Ora, questa roba già ce l'avevo qualche tempo fa su un'installazione
NON originale di XP, con SW piratato e chi più ne ha più ne metta, ma
ora che ho ripristinato XP originale e installato solo software
*pulito*, come è possibile che ho questa roba?
In giro per il web vedo che ce l'ha molta gente e che Prevx ancora non
lo ha catalogato.
Avete qualche idea?
Ovviamente il file non esiste...apparentemente...sarebbe troppo
facile...
Giulio.

AGGIORNAMENTO: a quanto pare trattasi di file creato da qualche
programma appartenente a Google (ho Googleearth.exe); infatti molti
che lamentano la presenza di tale file hanno software Google
installato sul loro sistema.
Fonte: forum Symantec.

 Ovviamente il file non esiste...apparentemente...sarebbe troppo facile...
Ci avevo giocato tempo fa, se ricordo bene è un file creato
temporaneamente on-the-fly dal Google Updater.
Bye, G. 

 Bye, G.
E' così. :-)