Newsgroup: it.comp.sicurezza.windows
Titolo: troian, saturare processore per mascherare invio dati

  20:17
  (win32xp home)
  Premesso che so di avere almeno un troian, quello chiamato
  Rootkit.Win32.TDSS, Tidserv, TDSServ, Alureon e altri nomignoli,
  popolarmente chiamato anche - ispirandosi al suo problema più
  appariscente - google redirect virus o google/yahoo redirect virus
https://www.microsoft.com/security/portal/Threat/Encyclopedia/Entry.aspx?Name=Win32/Alureon
 
http://www.symantec.com/security_response/writeup.jsp?docid=2008-091809-0911-99
 
http://www.nod32.it/threat-center/encyclopedia1.php?id=1889
http://www.laguidainformatica.it/2009/12/20/come-rimuovere-trojanwin32alureon-ct/
 
http://support.kaspersky.com/viruses/solutions?qid=208280684
  ...non mi interessa sapere come rimuoverlo, ho già trovato molte
  pagine al riguardo, alcune suggeriscono soluzioni un po' laboriose
  e altre soluzioni semplici (software dedicato), o entrambe.
  Mi interessa invece sapere se un altro problema manifestatosi
  di recente (e magari altri analoghi in passato) possa essere
  dovuto all'azione del troian. Ovvero, ultimamente succede che,
  aprendo la finestra immagini o scaricando un'immagine, si avvia
  senza motivo apparente un certo player video/multimediale, tanto
  da far saturare il processore; e, durante questo processo, a un
  certo punto compare un debole traffico sull'adsl, che impegna
  all'incirca l'uno per cento della banda o anche meno. Ho pensato,
  che forse il troian potrebbe far saturare apposta il processore
  per riuscire indisturbato a inviare dati a un sito remoto.
  O magari, è solo un pasticcio interno del computer...
  A proposito, questi elencati sulla pagina di nod32
  [http:##]
updatepanel.us#ctl#crcmds#ma
  [http:##]
stableclick.com#ctl#crcmds#ma
  [http:##]
stableclick2.com#ctl#crcmds#ma
  [http:##]
updatemic0.com#ctl#crcmds#ma
  [http:##]
updatemic1.cn#ctl#crcmds#ma
  sono gli indirizzi che Tidserv tenta di contattare (ho lasciato
  le parentesi quadre e ho sostituito le barre con dei cancelletti)
  ---
  -*_ uniposta(at)
yahoo.it
  -*_ uniposta(at)
gmail.com
-- 
If his chest had been a cannon, he would have shot his heart upon it.
Se il suo petto fosse stato un cannone, gli avrebbe sparato contro
il suo cuore. (Herman Melville, Moby Dick; Patrick Stewart,
Capt. Jean-Luc Picard, Star Trek - The Next Generation)

  20:39 (subject precedente:
  "troian, saturare processore per mascherare invio dati")
  Fra le pagine avevo anche trovato questa, a chi può interessare
http://punto-informatico.it/2813041/PI/News/update-microsoft-un-rootkit-causa-dei-crash.aspx
 
  - Cito questo passaggio del testo:
  il problema si verifica principalmente - ma non esclusivamente -
  sui PC infetti dal rootkit Tidserv, che si annida nei driver a
  basso livello del kernel, come atapi.sys, per rendersi invisibile
  agli antivirus. Tidserv utilizza dei relative virtual addresse (RVA)
  che l'aggiornamento MS010-015 va a modificare: ciò fa sì, dopo
  l'installazione della patch, che il rootkit faccia riferimento ad un
  indirizzo non valido, causando un page fault e, di conseguenza, un BSOD
  [schermata blu con impossibilità di avvio di windows se non da DVD]
