Newsgroup: it.comp.sicurezza.windows
Titolo: ancora nella cartella temp

Salve di nuovo a tutti, per il terzo giorno consecutivo mi sono trovato un
applicativo nella cartella temp che voleva accedere a internet e per la
terza volta e' stato bloccato dal firewall della norton ( sta volta si
tratta di "lsl1.exe" sempre in \Impostazioni locali\Temp di win 2k) vi prego
non so più cosa fare ho gia fatto scannare il disco da 2 antivirus ma non
rilevano nulla e io non ho idea di dove possa essere l'eseguibile che li
genara...
AIUTOOOOO!!!!
Grazie
Edoardo

 locali\Temp di win 2k) vi prego non so più cosa fare ho gia fatto
Hai provato a cancellarlo?

> Hai provato a cancellarlo?
Certo, il fatto è che tutte e tre le volte è riapparso un eseguibile
diverso( sempre e solo al riavvio e che chiedeva l'accesso a internet) che
io puntualmente cancellavo...Non so da dove si "rigenera", deve esserci un
eseguibile che crea questo file al riavvio...il fatto è che non ho nessuna
idea di che eseguibile sia e mi sembra strano che sia in una cartella temp
perfettamente visibile...
Grazie

 ha scritto nel messaggio news:aq3bpm$62clh$1...@ID-167489.news.dfncis.de...

se vuoi una mano devi essere piu' preciso.
Spiega tutto dll'inizzio, indica che sistema usi, dici che
l'eseguibile ha sempre un nome diverso, quale? Cerca
di dare piu' informazioni possibile,


Allora: uso win2k, ho un firewall Norton e un antivirus Kaspersky, per
sbaglio ho accettato un "documento" da un sito ( di solito non accetto
niente se non più che sicuri: vd Symantec, macromedia , microsoft e...
praticamente basta) dopo aver accettato questo documento mi si sono creati
su desktop due link: uno a un sito di mp3 e un'altro per loghi e suonerie:
li ho eliminati subito. Il fatto è che dal quel momento a ogni riavvio un
nuovo applicativo compare nella cartella temp e chiede l' accesso a
internet: applicativo che puntualmente elimino dalla tavola dei processi e
poi cancello dalla cartella temp: ogni volta ha un nome diverso ma per
fortuna il FW lo becca e io lo Killo; spero non sia niente di grave dal
momento che risiede in "temp" e riesco a eliminarlo, però la cosa non mi
convince e un pò mi preoccupa visto che ho una rete con quattro macchine e
una linea adsl...
Spero di essere stato un pò più chiaro
P.S: ho installato il service pack 3 e l' eseguibile oggi si chiamava
"lsl1.exe", ieri "vpq1.exe" e la prima volta mi sembra "wme.exe"
Grazie
Edoardo Carminati

 "lsl1.exe", ieri "vpq1.exe" e la prima volta mi sembra "wme.exe"
Allora questi eseguibili che tentano di accedere a Internet zippali e 
mandali a un produttore di AV
Kaspersky è ottimo, zippa questo file e manda a
newv...@kaspersky.com
Tieni conto che domani è lunedì e devono smaltire i virus ricevuti tra 
il venerdì sera e il lunedì mattina ma stai sicuro che entro lunedì sera 
Kaspersky ti risponde e ti dice cosa è, se è un trojan sarà sicuramente 
inserito nel daily di martedì

 ha scritto nel messaggio news:aq3df0$69pf7$1...@ID-167489.news.dfncis.de...
[cut]
Start, esegui, digita msinfo32
In Ambiente Software vedi i Programmi ad esecuzione automatica.
Se trovi qualche programma strano o sconosciuto probabilmente
hai risolto il problema rimuovendolo dall'esecuzione automatica
(anche se non puoi farlo da msinfo32). Se il problema persiste
fammi sapere.

Questo è quello che risulta, alcune cose come Kazaa, logon, logitech,
trickler so cosa sono, ma per esempio :
internat,
NvCplDaemon rundll32.exe nvqtwk,nvcpldaemon initialize All Users
ntrbrr c:\docume~1\edoloz\datiap~1\gfbgrshn.exe -quiet All Users
Cosa sono?
ecco la table completa:
Programma Comando Nome utente
internat.exe internat.exe .DEFAULT
Synchronization Manager mobsync.exe /logon All Users
EM_EXEC c:\progra~1\logitech\mousew~1\system\em_exec.exe All Users
NvCplDaemon rundll32.exe nvqtwk,nvcpldaemon initialize All Users
nwiz nwiz.exe /install All Users
NeroCheck c:\winnt\system32\nerocheck.exe All Users
iamapp c:\programmi\norton personal firewall\iamapp.exe All Users
Trickler "c:\program files\divx\divx pro codec\gain_trickler_3202.exe" All
Users
KAZAA c:\programmi\kazaa lite\kazaa.exe /systray All Users
ntrbrr c:\docume~1\edoloz\datiap~1\gfbgrshn.exe -quiet All Users
AVPCC c:\programmi\antiviral toolkit pro\avpcc.exe /wait All Users
P.s: oggi il file si chiamava fft1.exe
Grazie
Edoardo Carminati

 poi cancello dalla cartella temp:
Prova a togliere i permessi in scrittura sulla cartella temp, e vedi
se per caso ti esce qualche messaggio di errore... magari il programma
che lo genera a sto punto "s'intruppa" e lo scovi :-)
Danny


Ho appena riavviato dopo aver tolto i permesssi di scrittura ma niente...il
file è riapparso, stavolta col nome di "cdh1.exe"
Sono a corto di idee....
grazie
Edoardo Carminati


Mi stai dicendo che e' stato scritto quel file in una cartella nella quale
non si poteva scrivere... ?

 > file è riapparso, stavolta col nome di "cdh1.exe"


Era il lontano Mon, 4 Nov 2002 11:51:11 +0100, mentre cercavo di
sincronizzarmi con l'Eva 01, all'improvviso da un entry-plug saltò fuori
Edoardo che mi disse:
 EC> ntrbrr c:\docume~1\edoloz\datiap~1\gfbgrshn.exe -quiet All Users
Ecco, questo mi pare proprio sospetto. Toglilo dall'esecuzione automatica.
Se poi fa ancora problemi, vai in "C:\Documents and settings\edoloz\Dati
applicazioni" e prova a cancellare quel file gfbgrshn, e inoltri togli dal
registro di configurazione (magari rpima fai un backup del registro) tutto
quello che ha che fare con quel file.
Stefano
aka Senbee Norimaki
ICQ# 4243376
droguz-at-libero-punto-it

Ah, ma hai la FAT... Converti in NTFS e togli i diritti di scrivere in
quella cartella, vedrai che funziona.


GRANDE!!!
Ho tolto il rimosso l'eseguibile che creava gli eseguibili (scusate il gioco
di parole) e per il momento a questo riavvio non ho avuto segnali, speriamo
bene.Quell'eseguibile malefico che creava quegli exe non era visibile, l'ho
trovato solo con il trova di windows anche se ho abilitato "visualizza file
nascosti".
Grazie mille a tutti!
Edoardo Carminati