Newsgroup: it.comp.sicurezza.windows
Titolo: Diablo Keylogger ???

Salve a tutti , oggi , dopo  l'ennesimo aggiornamento di The Cleaner ,
faccio la solita scansione , tranquillo di non trovare nulla ( av e the
cleaner aggiornati maniacalmente , ogni aggiornamento si fa una una
scansione , mai cliccare su allegati sospetti senza prendere precauzioni ,
patches aggiornate ecc ) .
E invece :
Filename  C:\Programmi\Digital Seal\DWSeal\zlib.dll
 Trojan          Diablo Keylogger
 Action          cleaned
--------                                           ------                   
      ------
Ora , che un keylogger si trovi proprio nella directory del client di firma
digitale per uso bancario mi ha preoccupato un pochino.
Però zlib.dll .....  zlib non è quella utility free di
compressione/decompressione files ?
Gugleggio su Diablo key e mi preoccupo : il demonietto è pericoloso , logga
pw e quant'altro inviandole , con proprio server smtp , ad un indirizzo di
posta oppure si connette ad un server ftp che logga il tutto ...
Gugleggiando sempre vedo che non trovo molte altre info utili al mio caso :
Allora faccio una prova : disinstallo dwseal ( chiave digitale , client
ecc ) e poi lo reinstallo .
Scansiono  c:\Programmi\Digital Seal\DWSeal per ritrovare il zlib.dll
incriminato come Diablo Keylogger ( già cancellato da The Cleaner ) e non lo
trovo ........ provo a collegarmi al sito bancario dove sapevo di dover fare
l'upgrade al programma di client di firma digitale ( come avevo fatto per
quello disinstallato precedentemente ) e....... mi riappare il famoso
zlib.dll !!!!
A questo punto :
The Cleaner ha toppato ? Ma se si come ha potuto confondere le firme di una
utility di compressione - evidentemente funzionale all'upgrade del programma
di firma -  con quelle di un Troyan ( o meglio di un keylogger ? ) ? Vi sono
elementi comuni tra i due ( zlib.dll e Diablo Keylogger ) tali da confondere
lo scanner anti trojan ?  Oppure il keylogger ERA DENTRO il file zlib.dll ?
Poichè non ho trovato molto sui meccanismi di questo keylogger , chiedo lumi
a chi è più esperto di me : ubriacatura di The Cleaner oppure allarme reale
con il keylogger annidato su un file apparentemente innocuo ?
E nel caso fosse la seconda ipotesi , ho letto che questo keylogger Diablo
deve essere installato sulla macchina mediante un dischetto o un cd e non
mediante internet (anche perchè gli allegati li quaranteno e poi li apro in
modalità text ) . E' vero ?
Un Giampiero scrat scrat mumble mumble

 elementi comuni tra i due ( zlib.dll e Diablo Keylogger ) tali da confondere
Potrebbe essere: magari hanno parti di codice comune. Anzi, direi che e' 
probabile, visto che tenderei a fidarmi del sito della banca. Comunque 
prova a chiamare quelli della banca ed illustra il tuo problema. Se ti 
dicono che e' tutto ok, invia il campione a quelli di the cleaner 
spiegando loro il problema. Sicuramente trattasi di un falso positivo.
Se vuoi, inviami il campione, gli do' una passatina rapida (se si tratta 
del keylogger, e invia come hai detto tu il log su internet, puo' essere 
che gli indirizzi siano in chiaro, mentre se e' una libreria genuina non 
c'e' ragione che ci siano)
-- 
HappyCactus - Registered Linux User #209744
http://www.angelfire.com/jazz/happycactus/index.html
Made with 100% recycled electrons

 spiegando loro il problema.
Ahimé , il file è stato cancellato , si è trattato di un fatto istintivo ,
come quando si schiaccia d'istinto un insetto ributtante . A mente fredda
avrei dovuto rinominarlo e isolarlo in un floppy . Ma capisci che quando a
freddo ti spunta un allarme keylogger in una directory per giunta dove
risiede il programma di firma digitale ....
Sicuramente trattasi di un falso positivo.
Lo penso anch'io , ma paranoia è il mio secondo nome .
Boh! per ora procedo a tre scansioni ( AV + Av di riserva + The Cleaner ) al
giorno , + un controllo dei del log del FW ,non si sa mai ...
Comunque grazie e ciao


 seriamente ... vuol dire che quel file nascondeva un inquietante keylogger .
Tauscan, oltre che trojan detection, scova anche i keylogger.
http://www.agnitum.com/products/
dany
--
 Disco pieno.
Messaggio emesso da: applicazioni Varie