Newsgroup: it.comp.sicurezza.windows
Titolo: Un grosso problema di infezione...mai sentito cose del genere!

Un saluto a tutti,
abbiamo una azienda di collaborazioni esterne con un grosso problema di 
probabile infezione.
Pur avendo una rete con le dovute protezioni (hanno HDSL e firewall HW si 
sono beccati una specie
di "virus" che crea loro parecchi problemi (sembra che staino convivendo con 
questo malfunzionamento da un paio di anni)
Bisognerebbe essere sul posto per verificare meglio ma intanto questi sono 
alcuni sintomi principali:
1) a volte la macchina che si infetta presenta, il cestino (Recycler) 
rinominato in
"++indirizzoIPdella macchina++ oppure ancora  "++ I HAVE A DREAM © ++" oltre 
ad intere directory svuotate dai file....
Ma avete mai sentito di una cosa del genere???
2) la macchina che si infetta a volte perde le partizioni e non si riavviano 
più, (forse vengono
modificati i dati relativi alla partition table del MBR e per questo ho 
passato a loro un po' di strumenti per il backup di MBR e Boot Sector ( poi 
guarderemo cosa c'è dentro....)
3) Al manifestarsi dell'anomalia, la data (verificabile comunque, al
riavvio, dal BIOS) risulta alterata ad 11/11/2005.
Oppure macchine sulle quali non si era notata l'anomalia, al momento del
verificarsi, erano state spente ed erano rimaste spente per 2 o 3
giorni, alla ripartenza risultavano non avviabili (files/partizioni
eliminate) e la data era (sempre visibile da BIOS) 13 o 14/11/2051)
Hanno già interpellato un esperto che non è riuscito a debellare il 
malfunzionamento
Di problematiche del genere ne ho già viste molte ma questa mi mancava. Di 
solito uso:
- pulizia IE con riduzione cache e temporanei ed eliminazione plug etc. 
oltre a SpyBot e Ad-Aware
- a volte uso Nod32 demo 30 gg (per avere un'altra campana su virus e 
trojan)
- uso di Startup Control Panel (di mlin) insieme a Procexp (di sysinternals) 
oltre a SIW di Topala (il tutto per controllare porte, servizi, programmi, 
dll etc.)
- Ovviamente HiJackThis
- Controllo delle porte aperte (sempre con procexp o con vari scanner oltre 
al Netstat -no oppure -ano) e chiusura con WindowsWormsDoorsCleaner delle 
porte vulnerabile Microsoft
- Test vari su sicurezza (esempio GRC.com, LeaK)
Per caso avete esperienze simili e potete darmi un consiglio più mirato su 
come muovermi?
Grazie per la collaborazione...

 come muovermi?
Di primo acchito non ho visto riferimenti a controlli antispam e/o
antivirus sul server di posta:  per la maggior  parte dei virus il  
firewall non serve.
Altra cosa, se gli utenti sono amministratori di macchina oppure a
conoscenza della password di amministratore ci credo che si aprono
delle voragini ;-)
-- 
ciao, hal

 delle voragini ;-)
Senza contare che se le varie pulizie sono state fatte senza staccare
fisicamente tutta la rete e verificare tutte le condivisione (pure le
locali), potrebbe comunque esserci qualcosa che gira *all'interno*, e
fa da reinfezione ogni volta.
Subito ho pensato a qualcosa di distruttivo come MyLife, che però non
si diffonde tramite condivisioni, ma solo con mail e clic utente, per
cui non si tratta di quello.
L'unico consiglio possibile, è staccare immediatamente dalla rete, ma
senza spegnerla, la macchina che presenta i primi sintomi, analizzare
bene tutto quello che ha dentro scaricando tools e programmi da altra
macchina *sicuramente* pulita, e mettere insieme i vari tasselli, non
è *possibile* che un virus *esista* senza lasciare tracce di sé, idem
per malware o qualsiasi cosa sia, a meno di paranoiche fantasie di un
congegno "a tempo" che dopo un tot dall'infezione - senza sintomi - è
immediatamente distruttivo appena i sintomi sono palesi, ma intanto è
riuscito ad infiltrarsi, non visto, su altre macchine, e così via.
-- 
Bye by V.

 riuscito ad infiltrarsi, non visto, su altre macchine, e così via.
Grazie Vipera per la tua analisi. Penso anch'io che comunque si tratterà pur 
sempre di codice che gira...sarà magari difficile individuarlo ma con un po' 
di pazienza penso si possa debellere.
Ad ogni modo mi sembra di aver capito che anche per te questo tipo di 
infezione (file che iniziano con ++ e terminano con ++ etc..) è sconosciuto 
(ricordo quando lavoravo su sistemi hp-ux che i file come ++lmlic++ 
servivano per mascherare delle licenze d'uso......bei tempi!).
Questi collaboratori lavorano lontano dai nostri uffici altrimenti avrei già 
fatto un primo sopraluogo.
Ora non ho ben capito in che stato si trovino....ma li consiglierò di fare 
come dici (isolamento e analisi a tamburo battente).
Purtroppo loro hanno scarsa esperienza di come si opera su sistemi infetti 
(non che io sia un guru...ma di cosine strane ne ho viste un  po'). vedrò 
come fare...comunque non debbo combattere un fantasma...penso!
Grazie ancora per il prezioso supporto!

 malfunzionamento ...
Mha? ...non è che per risparmiare hanno chiamato il figlio della portinaia
che è un MAGO della Playstation? .... sigh
-- 
Walter

 ha scritto nel messaggio 
news:38e0r9F...@individual.net...

Sì ammetto che è una cosa strana. A sentir loro alternano periodi senza 
problemi a periodi ingovernabili.
Tieni presente che lavoro da poco tempo in una nuova società che ha queste 
collaborazioni.
Sono venuto a conoscenza (telefonicamente) di questi problemi e del fatto 
che avessero già fatto delle indagini.
La società che collabora dista da noi 300 km e non è facile fare delle 
analisi da questa distanza.
Cercherò di acquisire altre info e chissà magari farò una 
trasferta...vedremo! (se fosse per me partirei subito...)
Ciao 

 di pazienza penso si possa debellere.
Quello che sarà difficile è far capire agli utenti (ed in primis
all'azienda) che non si danno così liberamente gli accessi a una
rete aziendale (e mi sbaglierò, ma la sfera di cristallo mi dice
che da quelle parti sono parecchi ad attaccarsi con portatili, e
a non avere limitazioni di sorta).
-- 
Bye by V.