Newsgroup: it.comp.sicurezza.windows
Titolo: Svchost al 95% di occupazione CPU e tftp.exe

Ciao, stavo navigando da 10 min quando sento la ventola del mio
portatile - un Acer con un Athlon XP-M 3000+ - urlare come una pazza.
Ho fatto CTRL+ALT+CANC e ho visto che svchost.exe impegnava la cpu al
95%. Infarto. Vado a controllare. ZoneAlaram non era attivo...lo avevo
chiuso il giorno prima e io mando sempre in sospensione il pc
perciò...ero in rete senza firewall attivo. Attivo di corsa ZA. Dopo
alcuni secondi mi segnala che il tftp.exe vuole andare su internet.
Ho riavviato. PC silenzioso come prima, nessun tftp.exe che vuole
emigrare. Quindi .... non ho alcun file corrotto/infetto?
Ero sotto infezione/attacco da parte di qualche worm?
Ho NOD32 aggiornato a ieri sempre attivo ma non ha segnalato niente.
Cosa fare?
Grazie.

Ho riavviato XP in modalità provvisoria, messo a visibile tutti i
files a fatto la scansione approfondita con NOD32 aggiornato.
339.635 files scansionati, zero virus.
Posso stare tranquillo?

 Posso stare tranquillo?
direi di si'.
e' la prima volta che ti si impalla un processo di sistema?
..sei un fortunello..
Alessio
-- 
Non può piovere per sempre...... (The Crow)
ICQ Address: 22369130

Quello che mi ha colpito è stata la coincidenza: svchost.exe si
impalla, tftp.exe che vuole andare su INTERNET. E tutti sappiamo cosa
vuol dire.
Se non avessi messo ZA immediatamanete tftp.exe avrebbe potuto
collegarsi chissà a quale host e downlodare sul mio pc chissà quale
file. E come ho messo ZA tutto è rientrato nella norma.
Cmq si, non capita mai che mi si impallino processi di sistema...forse
non uso molto XP però....

 ..sei un fortunello..
Tu sai leggere bene?
A giulio non si era impallato un processo di sistema, aveva un
worm (sasser o uno della famiglia) che stava facendo i suoi porci
comodi.
Il sintomo *topico* e' la partenza del tftpd, che non avrebbe,
altrimenti, nessuna ragione di avviarsi.
-- 
           |Save our planet!
    Ciao   |Save wildlife!
   roberto |For your E-MAIL use ONLY recycled Bytes  !!
           |roberto poggi   
rpo...@softhome.net

Giulio Severini wrote:
Chiedo scusa, a te e ad Alessio.
Mi e' partito il post sbagliato.
Quello in risposta ad Alessio non doveva partire, dato che poi
avevo visto la tua controrisposta.
Doveva, invece, partire questo.

Parzialmente.
L'attivita' non proprio corretta l'hai avuta.
Fino a che punto sia riuscito a fare i suoi porci comodi, pero'
e' da vedere.
A tuo favore c'e' il silenzio di nod.
Nella prima fase del sasser, nod non puo' farci nulla, fino a che non
viene creato il primo file.
Sembra che tu sia riuscito a bloccarlo prima di avere l'ospite attivo.
Per verificare meglio, puoi usare uno dei vari task manager o usare
spybot: nelle utilita' puoi settarlo per vedere i BHO, i processi in
corso, le eventuali pagine iniziali del browser.
Se anche li' non ci sono notizie, puoi considerare l'incidente chiuso
al 99%.


 altrimenti, nessuna ragione di avviarsi.
il sintomo topico dovrebbe pero' essere accompagnato dalla presenza di un
qualche file infetto.
essendo tftp.exe un file di sistema una qualche ragione di esistere
l'avra', e dato che e' fatto apposta per accedere alla rete.. /per me/, che
come detto non sono un esperto, e' piu' plausibile che che un qualsiasi
processo ne abbia richiesto l'avvio (per fini piu' o meno leciti) piuttosto
che lo abbia fatto un worm non riconosciuto da NOD32 (con AMON e IMON
attivi, spero) e autoeliminante con un semplice riavvio.
non ho mai sentito di worm che si intrufolano nel pc in sasser-style ma che
aspettano che questo si surriscaldi prima di scaricarsi, inoltre se un worm
impalla il pc prima ancora di essersi radicato.. non avra' vita lunga.
io cercherei nel log di ZA se esiste una traccia dell'IP al quale voleva
connettersi tftp.
Alessio
-- 
"Se ogni tanto ti senti piccolo, inutile, offeso e depresso, ricorda sempre
che una volta sei stato il piu' veloce e vittorioso spermatozoo del tuo
gruppo".
ICQ Address: 22369130

 l'avra', e dato che e' fatto apposta per accedere alla rete.. /per me/, che
Nell'uso normale *casalingo* il tftpd non ha nessun motivo di partire.
Difficile avere delle periferiche che hanno bisogno di fare il boot da 
rete, o di scaricarsi il firmware per il funzionamento, in casa.
Non lo escludo al 101%, ma ammettilo, e' difficile. :-P
L'amico ha ZA.
ZA puo' essere settato per eliminare senza avvisi (non so se anche senza
log) alcune cose.
Di worm tipo sasser ne esistono anche che sfruttano piu' debolezze in
cascata, se una di queste era gia' filtrata silenziosamente, il worm non
e' riuscito a completare l'infezione.
Sono tutte ipotesi, intendiamoci, bisognerebbe avere la macchina sotto
mano ed avere vissuto in prima persona, con spirito critico e nervi
saldi il momento topico per avere la quasi certezza.
Gli avevo anche consigliato, infatti, di verificare bene con le solite
procedure antispy se c'era qualcosa in autoavvio.


 saldi il momento topico per avere la quasi certezza.
certamente.
Alessio
-- 
Se un filosofo e' un uomo cieco, in una stanza buia, che cerca un gatto
nero che non c'e', un teologo e' l'uomo che riesce a trovare quel gatto. --
sinn fein
ICQ Address: 22369130

 vero.. ma dubito seriamente che abbia disinstallato XP dal portatile
correzione.. Giulio ha scritto piu' volte che si sta parlando di XP. :-)
Alessio
-- 
Se riesci a mantenere la calma quando tutti intorno a te  hanno perso la
testa, forse non hai afferrato bene la situazione. -- J. Kerr
ICQ Address: 22369130

 essendo tftp.exe un file di sistema
Il problema, caro cuGGino, è che né tftp.exe né tftpd.exe sono di sistema :-/
Sono utilizzati da vari SW ufficiali per gli aggiornamenti di firmware,
per esempio, e sono utilizzati da vari virus/worm per scaricare altri,
diciamo, moduli.
Bye, G.

Salve, dunque ho XP Professional come S.O su un Acer Aspire 1357Lmi.
Avendo un processore Athlon XP-M 3000+ con driver amdk7.sys io so che
nell'uso normale la cpu lavora ad una frequenza di 799Mhz. Quando un
qualunque processo la spinge a 2200Mhz reali parte la ventola che
inizia a fare un casino della madonna, questo perchè il driver del
processore amdk7.sys scala la frequenza in relazione al lavoro da fare.
Io stavo navigando senza essermi accorto che non avevo ZA attivo quando
sento la ventolina urlare. L'urlo non si placa allora vedo con il Task
Manager che il processo svchost.exe sta occupando la cpu tra l'85 ed il
98% delle risorse.
Mi prende un colpo, perchè so che svchost.exe è un processo bersaglio
di molti worm tipo blaster/sasser. Vado a vedere e noto appunto che ZA
non è attivo. LO ATTIVO IMMEDIATAMENTE. La ventola continua a urlare,
svchost.exe continua ad impegnare la cpu al massimo. Dopo meno di un
minuto ZA mi avvisa che tftp.exe vuole andare su internet. Nella
finestra Alerts/Lognon c'è alcun indirizzo di destinazione tantomeno
sorgente (il mio), mentre nel log testo trovo che:
ACCESS,2005/06/30,20:55:22 +2:00 GMT,Applicazione del protocollo
Trivial File Transfer was temporarily blocked from connecting to the
Internet (217.201.151.80:TFTP).,N/A,N/A
ACCESS,2005/06/30,20:55:22 +2:00 GMT,Applicazione del protocollo
Trivial File Transfer was temporarily blocked from sending data to the
Internet (217.201.151.80:TFTP).,N/A,N/A
L'indirizzo IP riportato ero probabilmente io, perchè ora ne ho uno
simile (mi connetto in UMTS con TIM).
Ad ogni modo riavvio, e tutto torna normale. Però non sono sicuro lo
stesso. Controllo i tasks con procexp di sysinternals: NULLA; controllo
il registro: NULLA; controllo autoruns: NULLA. Riavvio in modalità
provvisoria, sconnesso ovviamente, abilito la visualizzazione di tutti
i ifiles e faccio fare la scansione a NOD32 aggiornato: NULLA su oltre
335.000 files.
Premetto inoltre che avevo AMON e IMON attivi ovviamente quando il
fatto è successo.
Da quel momento non è accaduto più nulla.

 Il problema, caro cuGGino, è che né tftp.exe né tftpd.exe sono di sistema :-/
Boh, sui miei 2000 tftp.exe c'e', in system32.
E mi risulta faccia parte del sistema operativo standard.


 fatto è successo.
Non e' detto che riescano ad attivarsi in tempo.
Alcune vulnerabilita' vengono sfruttate PRIMA di scrivere qualsiasi
file, di conseguenza AMON non li vede.
IMON non e' un firewall, si preoccupa della navigazione, non controlla
tutto il traffico su ogni porta.


 Euristica al massimo?
Tutto al massimo ovviamente. Tutti i files, euristica al massimo, tutti i
files visualizzati. E non uso punti di ripristino.
-- 
Non avere mai paura dei momenti bui perchè, facci caso, anche le stelle
hanno bisogno della notte per brillare - Non aver paura d'esser debole
questo articolo e` stato inviato via web dal servizio gratuito 
http://www.newsland.it/news
 segnala gli abusi ad 
ab...@newsland.it

 Il problema, caro cuGGino, è che né tftp.exe né tftpd.exe sono di sistema :-/
dipende da che definizione usi per "file di sistema". Se intendi come file
indispensabile per il funzionamento dell'OS hai ragione.. ma io mi
accontento di:
tftp.exe -> proprieta'->versione->nome prodotto: "Sistema operativo
Microsoft® Windows®" 
:-)
Alessio
-- 
Un italiano e' un latin lover, due italiani sono un casino, tre italiani
fanno quattro partiti. -- Beppe Grillo
ICQ Address: 22369130

 tutto il traffico su ogni porta.
di default controlla 80, 8080 e 3128. E' impostato per rilevare connessioni
HTTP anche su altre porte.. ma non certo tftp.
io avevo citato IMON nell'eventualita' che il problema fosse nato da
malware vario che si diffonde, appunto, tramite HTTP.
Alessio
-- 
Soltanto l'inutilita' del primo diluvio trattiene Dio dal mandarne un
secondo. -- Nicholas De Chamfort
ICQ Address: 22369130

 E mi risulta faccia parte del sistema operativo standard.
Ho controllato su cinque W2K diversi, server e personal, prima di postare,
e non c'era.
Uno è un preinstallato, gli altri li ho installati io, e non c'è su nessuno.
Dopo il tuo post ho controllato su altri due W2K e su un XP e su quelli... c'è :-(
L'unica spiegazione che vedo è che faccia parte di un pacchetto che
io non uso, visto che tendo a mantenere davvero minimali le mie installazioni.
A meno che... dimmi la verità, sei venuto qui durante la pausa pranzo
a caricarlo ? :-)
Per fortuna ho fatto scorta di cenere... Beh, vado a cospargermici,
ci sentiamo più in là.
Bye, G.

 quelli... c'è :-( L'unica spiegazione che vedo è che faccia parte di
Trovata la vera spiegazione. Il primo indizio è stato che tutte le
macchine che ce l'hanno sono state installate da poco.
A quanto pare, qualche mese fa, mentre ero in ferie, è stato segato
dall'AV... falso positivo :-(, poi corretto, proprio perché viene usato
da alcuni virus.
Non vado a lavarmi la testa, comunque, perché ho riletto il mio post
originale, e me lo merito lo stesso.
Bye, G.

 ci sentiamo più in là.
Non la terrai in ufficio, eh? E' reato, detenere la cenere, dopo il
decreto Sirchia.
