Newsgroup: it.comp.sicurezza.windows
Titolo: svchost e un paio di servizi strani (i cinesi ci attaccano?)

Salve NG
da un paio di giorni mi ritrovo 2 servizi mai sentiti
Parliamo di WinXP
i nomi dei service sono
Windows Smart Cdrd
che avvia un fantomatico C:\WINDOWS\system32\£óvchost.exe
Windows Smart Cerd
che punta su C:\Program Files\Internet Explorer\SIGNUP\Internet
Explorer
i servizi li ho disabilitati.
Oltre a questo ho numerosi tentativi di uscita da parte di svchost.exe
verso un ip (121.10.113.113 residente in cina)
lo scan verso l'ip avviene ogni 10 sec su una porta diversa
su internet non ho trovato nulla di tutto ciò inoltre cercando l'ip
incriminato mi escono da google loschi siti cinesi
Norton non rivela nulla idem per Comodo FW
Cosa mi sono preso? la nuova influenza di Bejing ?
Saluti
Alex

trovato ed isolato (al momento) un'altro servizio strano
Protected Storageges
Punta al file C:\WINDOWS\system32\sockere.exe
bhò

> Cosa mi sono preso? la nuova influenza di Bejing ?
al 90% si tratta di un bellissimo un rootkit che ha trasformato
il tuo sistema in uno "zombie" controllato da qualcun altro ed
utilizzato per qualsivoglia scopo dal suo nuovo "padrone"
Per risolvere ti consiglio quanto segue
fatti aiutare da un amico che abbia un computer "pulito" ed
una connessione "veloce" (una normale ADSL andrà bene)
e scarica il rescue-cd di f-secure
http://www.f-secure.com/weblog/archives/00001474.html
http://www.f-secure.com/linux-weblog/files/f-secure-rescue-cd-release-3.00.zip
una volta scaricato lo "zip" ed estratto da questo il file "iso"
procedi masterizzando il file "iso" su un CD in modo da creare
un CD avviabile; quindi, sempre dalla macchina del tuo amico
prova ad avviare dal CD verificando che il CD funzioni
A questo punto, armato di CD, torna a casa, inserisci il CD nel
lettore del tuo computer "infetto" e procedi all'avvio da CD; al
termine del boot, procedi con l'aggiornamento delle "firme"
da internet (c'è una opzione nel menù); quindi avvia la procedura
di scansione e *pulizia* del sistema; al termine di tale procedura
potrai riavviare il sistema normalmente e completare la pulizia
seguendo le istruzioni che troverai qui
http://technet.microsoft.com/it-it/library/cc645560.aspx
ciao

Ti ringrazio ObiWan per quanto scritto
Ho rimosso a mano dal registro i 3 servizi
ho fatto 3 riavvii e sembra che la cosa non si è riproposta
sto tenendo sotto controllo il taffico e sembra tutto regolare
Procederò con il tuo consiglio appena possibile
Tiro una somma
Pc Aziendale con tutte le patch aggiornate/aggiornabili
Norton Client Security aggiornato a definizione del 21/09/08 rev.3
Comodo Firewall Pro con Defense+  ver. 3.0.25.378
=
Tutto totalmente inutile (... o quasi)
Grazie
Alex

 Pc Aziendale con tutte le patch
[...]
in un ambito aziendale dovresti prima di tutto isolare il PC
dalla rete e procedere ad una pulizia a fondo dello stesso
e non solo "togliere qualche file e sperare per il meglio"
oltre a questo, dovresti chiederti da DOVE sia entrata quella
roba; patches/antivirus/personal-firewall (in ambito aziendale
io NON lo userei) non servono assolutamente a niente se non
hai il controllo completo di tutto ciò che entra/esce dalla tua
rete; un esempio ? Beh, immagina una variante nuova di zecca
di un worm/rootkit che arriva come allegato email ad uno dei
tuoi utenti; il tizio apre la mail; l'antivirus NON fa una piega (già
perchè non conosce il "coso") e la bestia procede tranquilla
a nascondersi al firewall, scaricare gli altri "pezzi" e fare i suoi
comodi; stessa cosa se il "coso" fosse arrivato al tuo utente
da un sito web "maligno"; la faccenda non cambia; si tratta
sempre di mancanza di controllo su quello che transita sulla
tua rete e per questo non c'è "patch" che tenga

 tua rete e per questo non c'č "patch" che tenga
e come lo assumi questo controllo? :-/

 procedi masterizzando il file "iso" su un CD in modo da
[...]
scusate se mi intrometto:
se l'antivirus del pc infettato fosse stato proprio F-Secure (siccome in
qualche pc ce l'ho mi sono fatto questa domanda...) ... avrebbe ancora senso
scaricare il rescue CD di F-Secure?
chiedo :-|
E ancora:
se ho un pc isolato ed è compromesso : come lo scopro, da solo? Senza avere
altri pc a disposizione.

lo scan verso l'ip avviene ogni 10 sec su una porta diversa
questo te lo dice il personal firewall?