Newsgroup: it.comp.sicurezza.windows
Titolo: Mai visto niente del genere... aiuto!!!

Ho conosciuto i Trojan diversi anni fa, quando iniziarono a circolare
le prime versioni del BO e del NETBUS.
Poi non mi è più capitato di occuparmene e certamente si saranno molto
evoluti in tutti questi anni.
Ieri pero' sul Pc di un mio amico ho visto quello che non mi sarei mai
aspettato di vedere.
Nel tentativo di cercare una PATCH NO-CD per il recente NEED FOR SPEED
UNDERGROUND abbiamo in qualche modo infettato il Pc nonostante fosse
protetto dal Norton Antivirus 2003 aggiornato all'ultimo upgrade
rilasciato.
Il Norton in effetti non segnala alcuna anomalia, eppure....
Il PC è letteralemente impazzito... anzi.... è diventato INTELLIGENTE!
Péroprio come accadeva con levecchie versioni del NETBUS, vedevo la
freccia del mouse scorrere liberamente sul desktop, aprire cartelle e
lanciare programmi in ordine apparentemente casuale e addirittura
avviare la connessione ad internet.... tutto sotto i miei occhi!
Niente di nuovo se noi fossimo stati ancora collegati (perché tutto
questo avrebbe potuto farlo qualcuno in remoto).... invece io avevo
immediatamente provveduto a staccare fisicamente il cavo del modem....
e il PC imperteritto continuo ad auto-manovrare indisturbato anche
dopo ripetuti tentativi di riavvio!
Immagino che sia stata appositamente creata una routine che impartisce
ordini al Pc.... ma io non avevo mai visto nualla di simile, ce
peraltro appare piuttosto inquietante.... insomma vedere la freccia
del mouse che si mette a fare tutto quello che vuole proprio sotto i
tuoi occhi....
Naturalmente se voglio posso riprendere il controllo del mouse, in
qualunque momento, ma così facendo è come se sul PC potessimo
contemporanemante lavorarci in due..... lui continua a fare
indisturbato quello che gli pare non appena io mi fermo per qualche
attimo....
Insomma... ne sapete qualcosa?
Esiste qualche antidoto? 
Vorrei evitare di formattare....
Grazie.

 Vorrei evitare di formattare....
molto probabilmente è un processo che parte all'avvio di Windows e potrebbe
non necessariamente essere un programma 'cattivo'.
Molti siti umoristici riportano infatti applicazioni che muovono da sole la
freccia del mouse o fanno partire formattazioni virtuali dell'HD... :-)
la prima cosa che farei sarebbe di aprire il task manager e controllare un
po' i vari processi per vedere i piu' anomali, se magari li posti posso/iamo
aiutarti...
ciao. Francesca.

 INTELLIGENTE! 
che marca usi (di droga)?
-- 
Ciao, Dmitry
Posted from X-Privat Free NNTP server - 
www.x-privat.org

 che marca usi (di droga)?
Marca? Va bene non fare uso di droghe, ma pensare che ci siano le "marche" 
fa molta tenerezza... che pissero! :)
 

 wrote:
Spero e confido di trovare qui qualcuno che sia competente in materia.
Francesca, ti ringrazio per esserti interessata al mio caso, ma ti
assicuro che in quello che accade su quel Pc non c'é proprio niente
che lasci anche solo un impercettebile alone di umorismo!
La faccenda, al contrario, appare piuttosto grave ed inquietante...
ben altro che le vecchie inflazionate gags che simulano qualche
stupidaggine.
All'idiota che domanda quale genere di marca io utilizzi, consiglio di
cercare con un P2P (tipo Kazaa o WinMx) crack/patch per Need For Speed
Underground.... scaricare ed installare quello che trova... osservare
il comportomantento del suo Pc dopo il primo riavvio... e poi ne
riparliamo!
L'unica cosa certa è che, se non si tratta di un virus, certamente è
qualcosa di simile ad un trojan programamto per compiere operazioni
casuali, le più fastidiose possibile.
I giochetti a cui Francesca fa riferimento, a parte il fatto che sono
chiaramente riconoscibili, non creano una nuova connessione in
automatico, non avviano da soli il modem che chiama un numero e tenta
di collegarsi chissa dove, non avviano i tuoi programmi e non aprono
le tue cartelle... il tutto sotto i tuoi occhi!!!
Se qualcuno pertanto ne sa qualcosa, prego di postare, perché quello
che è successo a me succederà a molti, visto che circola già in rete!
Grazie ancora.

 Grazie ancora.
ma figurati...

 le "marche" fa molta tenerezza... che pissero! :)
lol :) guarda che farebbe bene anche a te sai :)


voglia per poi venirlo a raccontare qui chiedendo aiuto... 
Scaricare Patch e quant'altro fa parte del quotidiano su Internet!
Anziché farmi la predica, visto che appare chiaro che non te ne ntendi
una sega di eventuali rimedi, rintanati da qualche parte zitto zitto e
lascia che qualcuno piů gentile di te possa offrirmi il suo aiuto.
Certo...se non si scarica non si rischia.... bravo.... cosa sei? Un
sensitivo? La tua saggezza mi lascia interdetto.... m'inchino di
fronte a tale dimostraizone d'ineguagliabile sapienza....
Ma vai a cagare......

tuoi occhi....
Il fatto e' che, quando installi un crack, tu gli dai l'accesso al tuo
sistema.
Ora, se sei fortunato, ti sei fidato di un ladro onesto, cioe', di uno
che ruba all'autore del software per regalare a te, e non chiede nulla
in cambio.
Pero' anche i ladri devono mangiare. Qual e' ormai il sistema migliore
per impedire il cracking? Inondare il circuito crack di merda, pagando
i cracker perche' scrivano falsi crack. Tanto, che cosa ci rimettono i
produttori di software a farlo? Chi prende il crack non compra certo i
loro software, quindi se gli si formatta il PC chi se ne frega. Tanto,
che cosa puo' fare? Andare alla polizia e dire "Sono un ladro"? :-)
Con un po' di fortuna, usando Process Explorer, puoi vedere se trovi a
giro per la memoria qualche processo "strano", oppure con WinTop (dato
agratisse con i Kernel Toys o i Power Toys di Microsoft) puoi vedere i
processi che consumano CPU. Lo scherzetto del mouse un 2% se lo mangia
di sicuro, sicche' dovresti vederlo bene.
Oppure con Spybot S&D puoi vedere negli Strumenti cosa parte all'avvio
e provare a disattivarlo.
Se non hai veramente una sfiga nera, il processo non ha lasciato nell'
hard disk qualche bomba ad attivazione ritardata.
Pero', per sicurezza, un backuppino io lo farei.
Leonardo
-- 
In nessun caso Microsoft, o i suoi fornitori, saranno responsabili per
[...] omissione di rispetto di obblighi, incluso quello di comportarsi
in buona fede o ragionevole diligenza
                                     -- Contratto di Licenza Microsoft

 wrote:
Questo è il responso HIJACKTHIS sul PC del mio amico; io non riesco a
notare nulla di anomalo... se non quello SCSIACCESS.EXE che potrebbe
incuriosirmi visto che il PC non ha periferiche Scsi. 
Voi cosa ne pensate? 
Logfile of HijackThis v1.97.7 
Scan saved at 12.14.28, on 06/01/2004 
Platform: Windows XP (WinNT 5.01.2600) 
MSIE: Internet Explorer v6.00 (6.00.2600.0000) 
Running processes: 
C:\WINDOWS\System32\smss.exe 
C:\WINDOWS\system32\winlogon.exe 
C:\WINDOWS\system32\services.exe 
C:\WINDOWS\system32\lsass.exe 
C:\WINDOWS\system32\svchost.exe 
C:\WINDOWS\System32\svchost.exe 
C:\Programmi\File comuni\Symantec Shared\ccEvtMgr.exe 
C:\WINDOWS\Explorer.EXE 
C:\WINDOWS\system32\spoolsv.exe 
C:\WINDOWS\system32\drivers\KodakCCS.exe 
C:\Programmi\Norton AntiVirus\navapsvc.exe 
C:\Programmi\Norton AntiVirus\AdvTools\NPROTECT.EXE 
C:\WINDOWS\System32\atiptaxx.exe 
C:\Programmi\File comuni\Symantec Shared\ccApp.exe 
C:\Programmi\File comuni\RTE\RTEGPRS.exe 
C:\WINDOWS\System32\ScsiAccess.EXE 
C:\WINDOWS\System32\svchost.exe 
C:\Programmi\Outlook Express\msimn.exe 
C:\Documents and Settings\Gaetano\Desktop\HijackThis.exe 
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page =
http://www.libero.it/
 
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName
= Collegamenti 
O2 - BHO: MyWay Search Assistant BHO -
{04079851-5845-4dea-848C-3ECD647AA554} -
C:\Programmi\MyWay\SrchAstt\1.bin\MYSRCHAS.DLL 
O2 - BHO: myBar BHO - {0494D0D1-F8E0-41ad-92A3-14154ECE70AC} -
C:\Programmi\MyWay\myBar\1.bin\MYBAR.DLL 
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} -
C:\Programmi\Norton AntiVirus\NavShExt.dll 
O3 - Toolbar: Norton AntiVirus -
{42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Programmi\Norton
AntiVirus\NavShExt.dll 
O3 - Toolbar: &SearchBar - {0494D0D9-F8E0-41ad-92A3-14154ECE70AC} -
C:\Programmi\MyWay\myBar\1.bin\MYBAR.DLL 
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} -
C:\WINDOWS\System32\msdxm.ocx 
O4 - HKLM\..\Run: [AtiPTA] atiptaxx.exe 
O4 - HKLM\..\Run: [ccApp] "C:\Programmi\File comuni\Symantec
Shared\ccApp.exe" 
O4 - HKLM\..\Run: [ccRegVfy] "C:\Programmi\File comuni\Symantec
Shared\ccRegVfy.exe" 
O4 - HKLM\..\Run: [Advanced Tools Check]
C:\PROGRA~1\NORTON~1\AdvTools\ADVCHK.EXE 
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\System32\\NeroCheck.exe 
O4 - HKCU\..\Run: [RTEGPRS] "C:\Programmi\File comuni\RTE\RTEGPRS.exe"
tray 
O8 - Extra context menu item: E&sporta in Microsoft Excel -
res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000 
O16 - DPF: {00B71CFB-6864-4346-A978-C0A14556272C} (Checkers Class) -
http://messenger.zone.msn.com/binary/msgrchkr.cab
 
O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D}
(MessengerStatsClient Class) -
http://messenger.zone.msn.com/binar...StatsClient.cab
 
O16 - DPF: {9F1C11AA-197B-4942-BA54-47A8489BB47F} (Update Class) -
http://v4.windowsupdate.microsoft.c.
..7865.1262962963 
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash
Object) - 
http://download.macromedia.com/pub/...ash/swflash.cab

Voi cosa ne pensate? 
Per il resto passo.
-- 
ciao, hal

 Voi cosa ne pensate?
che potrebbe essere anche un drive virtuale che ti viene caricato all'avvio
del pc da qualche utility di masterizzazione o lettura ISO.
non so che dire, dal log sembra pulito...
sicuro che non ti abbia sostituito qualche file di quelli in elenco o magari
non si sia attaccato a uno di questi?
Che scansioni hai fatto fino ad ora? Intendo con che antivirus o antitrojan?
Potresti mandarmi il file del crack?? Vorrei vedermelo per benino... :-/
Francesca.

 Ma vai a cagare......
terrò presente... potrebbe servire...

Certo...se non si scarica non si rischia....
Se scrivi cosi' vuol dire che non hai proprio idea di *quanto* e
*cosa* si rischi :-(
-- 
ciao, hal
antivirus? cos'e' l'antivirus? 
l'ultimo l'ho disinstallato almeno due anni fa

lascia che qualcuno più gentile di te possa offrirmi il suo aiuto.
Ecco, posti auto accusandoti e speri he nessuno ti faccia la morale ?
hmmm..
Peraltro, come si chiama sto file che provo a lanciarlo su una
macchina virtuale ? 
--
Black holes suck.