Newsgroup: it.comp.sicurezza.windows
Titolo: Sono dei troyan?

Salve ragazzi, sembra che abbia individuato alcuni processi maligni nel mio 
sistema, collegati ad alcuni file nella cartella di Windows/system32 che 
avviano dei processi che mi sembrano legati a dei troyan. Premetto che sto 
usando un PIV a 2.0 Ghz con 512 Mb di Ram e Windows XP Pro.
Il problema è sempre quello molto fastidioso che - terminata la connessione 
dial-up con Tiscali, compare la finestra di richiesta di connessione
	connessioni di rete
	da un programma o da un utente sono state richieste informazioni
	da 80.181.150.216
	Quali connessioni utilizzare?
con il regolare elenco delle mie connessioni (Tiscali, Gratis, Libero). Il 
problema è piuttosto fastidioso e compare ad intervalli regolari di circa 2 
o 3 minuti. Attualmente sto utilizzando Avast Antivirus 4.1 aggiornato, Spy 
Bot Search&Destroy 1.3 - Ad-Aware 6.0 (aggiornato), Agnitium Outpost 
Firewall vers. 1.0.1817 - Digisoft antidialer, il programma per il 
controllo dei costi di connessione (Countdown), AT notes, Naviscope. 
Nessuna di queste applicazioni fino ad adesso mi avevano dato problemi, 
quindi escludo che siano richieste di informazioni in background. 
Avviando "Process Explorer" ho scoperto che al momento della richiesta 
della connessione, si attiva il processo "Rasautou.exe" che viene 
classificato come "remote access dialer" di proprietà della "Microsoft 
Corporation"; Outpost mi dà questo processo come "Learning Mode" sulla 
porta 3330 collegato ad "Host 
216.150.pool80181.interbusiness.it
", quindi 
penso che si tratti di un qualche processo per inviare dati in Rete, il 
problema è che ne ignoro la natura. Con una ricerca rapida, ho trovato 
questi due file (recenti): ALG.exe collocato nella cartella 
C:\Windows\System32 (con una copia su C:\Windows\System32\dllcache) e 
l'altro file sospetto, RASAUTOU.exe nella stessa cartella (sono due copie 
dello stesso file). Sono sicuro che sono questi i due processi che vengono 
avviati per la richiesta di connessione.
Naturalmente, gli scan effettuati sia con l'antivirus, che con SpyBot 
Search&Destroy che con Ad-Aware 6.0 hanno dato esito negativo. La mia idea 
è che debba trattarsi di due troyan di nuova concezione non ancora inclusi 
negli elenchi dei file maligni. Prima di cancellare qualcosa vorrei un 
parere da tutti voi.
Vi allego il file di log effettuato proprio ora con HyJeck This.
Grazie
< inizio >
Logfile of HijackThis v1.97.7
Scan saved at 21:20:28, on 12/07/2004
Platform: Windows XP  (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)
Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
D:\Programmi\Alwil Software\Avast4\aswUpdSv.exe
D:\Programmi\Alwil Software\Avast4\ashServ.exe
D:\Programmi\Cobian Backup 5\cbs.exe
D:\Programmi\Executive Software\DiskeeperLite\DKService.exe
C:\PROGRA~1\Agnitum\Outpost Firewall 1.0\outpost.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\Programmi\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\WINDOWS\System32\taskswitch.exe
C:\WINDOWS\System32\CTHELPER.EXE
D:\Programmi\Alwil Software\Avast4\ashDisp.exe
D:\PROGRA~1\ALWILS~1\Avast4\ashmaisv.exe
C:\Programmi\Ahead\InCD\InCD.exe
D:\DOWNLOADS\Rage3DTweak\RegTwk.exe
C:\Programmi\Java\j2re1.4.2_03\bin\jusched.exe
D:\Programmi\Cobian Backup 5\cobui.exe
C:\WINDOWS\System32\ctfmon.exe
D:\PROGRAMMI\datray.exe
D:\Programmi\ATnotes\ATnotes.exe
C:\Programmi\Siber Systems\AI RoboForm\RoboTaskBarIcon.exe
D:\PROGRAMMI\Digisoft AntiDialer\AntiDialer.exe
D:\PROGRAMMI\CountDown\CountDown.exe
D:\Naviscope\naviscope.exe
D:\PROGRAMMI\40tude Dialog\dialog.exe
C:\Programmi\PROCESS EXPLORER\procexp.exe
C:\Programmi\CURPORT\cports.exe
D:\PROGRAMMI\HijackThis\HijackThis.exe
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = 
http://www.tgmonline.it/
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet 
Settings,ProxyServer = http=
127.0.0.1:81
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = 
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = 
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = 
Collegamenti
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - 
D:\Programmi\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - 
D:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: (no name) - {724d43a9-0d85-11d4-9908-00400523e39a} - 
C:\Programmi\Siber Systems\AI RoboForm\RoboForm.dll
O2 - BHO: (no name) - {A5366673-E8CA-11D3-9CD9-0090271D075B} - 
D:\PROGRA~1\FlashGet\jccatch.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - 
C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: FlashGet Bar - {E0E899AB-F487-11D5-8D29-0050BA6940E3} - 
D:\PROGRA~1\FlashGet\fgiebar.dll
O3 - Toolbar: &RoboForm - {724d43a0-0d85-11d4-9908-00400523e39a} - 
C:\Programmi\Siber Systems\AI RoboForm\RoboForm.dll
O4 - HKLM\..\Run: [ATIPTA] C:\Programmi\ATI Technologies\ATI Control 
Panel\atiptaxx.exe
O4 - HKLM\..\Run: [BackgroundSwitcher] C:\WINDOWS\System32\bgswitch.exe
O4 - HKLM\..\Run: [CoolSwitch] C:\WINDOWS\System32\taskswitch.exe
O4 - HKLM\..\Run: [FastUser] C:\WINDOWS\System32\fast.exe
O4 - HKLM\..\Run: [WINDVDPatch] CTHELPER.EXE
O4 - HKLM\..\Run: [Jet Detection] 
C:\Programmi\Creative\SBLive\PROGRAM\ADGJDet.exe
O4 - HKLM\..\Run: [avast!] D:\Programmi\Alwil Software\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [ashMaiSv] D:\PROGRA~1\ALWILS~1\Avast4\ashmaisv.exe
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [InCD] C:\Programmi\Ahead\InCD\InCD.exe
O4 - HKLM\..\Run: [RegTweak] D:\DOWNLOADS\Rage3DTweak\RegTwk.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] 
C:\Programmi\Java\j2re1.4.2_03\bin\jusched.exe
O4 - HKLM\..\Run: [Cobian Backup Interface 5] "D:\Programmi\Cobian Backup 
5\cobui.exe" /SERVICE
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programmi\QuickTime\qttask.exe" 
-atboottime
O4 - HKLM\..\Run: [Outpost Firewall] C:\PROGRA~1\Agnitum\Outpost Firewall 
1.0\outpost.exe /waitservice
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [Desktop Architect] "D:\PROGRAMMI\datray.exe" -S
O4 - HKCU\..\Run: [ATnotes.exe] D:\Programmi\ATnotes\ATnotes.exe
O4 - HKCU\..\Run: [RoboForm] "C:\Programmi\Siber Systems\AI 
RoboForm\RoboTaskBarIcon.exe"
O4 - Startup: Collegamento a CountDown.exe.lnk = ?
O4 - Startup: naviscope.lnk = D:\Naviscope\naviscope.exe
O4 - Global Startup: Digisoft AntiDialer.lnk = ?
O8 - Extra context menu item: Aggiungi l'indirizzo alla Lista Nera della 
pubblicità - C:\Programmi\Avant Browser\AddToADBlackList.htm
O8 - Extra context menu item: Apri tutti i collegamenti nella pagina in 
linguette diverse - C:\Programmi\Avant Browser\OpenAllLinks.htm
O8 - Extra context menu item: Blocca tutte le immagini provenienti dal 
server di questa - C:\Programmi\Avant Browser\AddAllToADBlackList.htm
O8 - Extra context menu item: Cerca con Google - C:\Programmi\Avant 
Browser\Search.htm
O8 - Extra context menu item: Compila Modulo &] - file://C:\Programmi\Siber 
Systems\AI RoboForm\RoboFormComFillForms.html
O8 - Extra context menu item: Evidenzia in questa pagina - 
C:\Programmi\Avant Browser\Highlight.htm
O8 - Extra context menu item: Personalizza - file://C:\Programmi\Siber 
Systems\AI RoboForm\RoboFormComCustomizeIEMenu.html
O8 - Extra context menu item: Salva Moduli &[ - file://C:\Programmi\Siber 
Systems\AI RoboForm\RoboFormComSavePass.html
O8 - Extra context menu item: Scarica con FlashGet - 
D:\PROGRAMMI\FlashGet\jc_link.htm
O8 - Extra context menu item: Scarica tutto con FlashGet - 
D:\PROGRAMMI\FlashGet\jc_all.htm
O8 - Extra context menu item: SYSTRAN: &Cancella cache traduzione - 
D:\Programmi\Systran\Premium\menuClearCache.html
O8 - Extra context menu item: SYSTRAN: &Opzioni - 
D:\Programmi\Systran\Premium\menuConfigure.html
O8 - Extra context menu item: SYSTRAN: &Registra - 
D:\Programmi\Systran\Premium\menuRegister.html
O8 - Extra context menu item: SYSTRAN: &Traduci - 
D:\Programmi\Systran\Premium\menuTranslate.html
O8 - Extra context menu item: SYSTRAN: &Verifica aggiornamenti - 
D:\Programmi\Systran\Premium\menuUpdate.html
O8 - Extra context menu item: SYSTRAN: Traduci tutti i &frame - 
D:\Programmi\Systran\Premium\menuTranslateAll.html
O9 - Extra 'Tools' menuitem: Sun Java Console (HKLM)
O9 - Extra button: Compila (HKLM)
O9 - Extra 'Tools' menuitem: Compila Modulo &] (HKLM)
O9 - Extra button: Salva (HKLM)
O9 - Extra 'Tools' menuitem: Salva Moduli &[ (HKLM)
O9 - Extra button: @sysiecom.dll,-2100 (HKLM)
O9 - Extra 'Tools' menuitem: @sysiecom.dll,-2102 (HKLM)
O9 - Extra button: @sysiecom.dll,-2103 (HKLM)
O9 - Extra 'Tools' menuitem: @sysiecom.dll,-2105 (HKLM)
O9 - Extra button: @sysiecom.dll,-2115 (HKLM)
O9 - Extra 'Tools' menuitem: @sysiecom.dll,-2117 (HKLM)
O9 - Extra 'Tools' menuitem: @sysiecom.dll,-2108 (HKLM)
O9 - Extra 'Tools' menuitem: @sysiecom.dll,-2111 (HKLM)
O9 - Extra 'Tools' menuitem: @sysiecom.dll,-2114 (HKLM)
O9 - Extra button: RoboForm (HKLM)
O9 - Extra 'Tools' menuitem: RF Barra strumenti &2 (HKLM)
O9 - Extra button: Organizzatore ricerche (HKLM)
O9 - Extra button: FlashGet (HKLM)
O9 - Extra 'Tools' menuitem: &FlashGet (HKLM)
O16 - DPF: {4C39376E-FA9D-4349-BACC-D305C1750EF3} (EPUImageControl Class) - 
http://tools.ebayimg.com/eps/wl/activex/EPUWALControl_v1-0-3-9.cab
O16 - DPF: {9F1C11AA-197B-4942-BA54-47A8489BB47F} (Update Class) - 
http://v4.windowsupdate.microsoft.com/CAB/x86/unicode/iuctl.CAB?38167.101087963
O16 - DPF: {CE28D5D2-60CF-4C7D-9FE8-0F47A3308078} (ActiveDataInfo Class) - 
https://www-secure.symantec.com/techsupp/activedata/SymAData.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) 
- 
http://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab
O16 - DPF: {E77C0D62-882A-456F-AD8F-7C6C9569B8C7} (ActiveDataObj Class) - 
https://www-secure.symantec.com/techsupp/activedata/ActiveData.cab
< fine > 
-- 
Natanaele
e-mail < 
nata...@despammed.com
 >
«No hay banda!...» 
Mulholland Drive - 01h:40m:50ss - David Lynch - 2001

avviati per la richiesta di connessione.
[cut]
http://www.liutilities.com/products/wintaskspro/processlibrary/alg/
anche rasautou.exe non e' un trojan, serve per fare connessioni remote
tramite Dial-Up
--
W.A.R.®