Newsgroup: it.comp.sicurezza.windows
Titolo: ykval.exe e anomalie varie


 
 === rimandi scritti all'interno del file ===
 
 ( Nota : disco C:\ viene scritto
 \ D E V I C E \ H A R D D I S K V O L U M E 1 \ )
 
 <C:\WINDOWS\system32\ntdll.dll>
 <C:\WINDOWS\system32\kernel32.dll>
 <C:\WINDOWS\system32\unicode.nls>
 <C:\WINDOWS\system32\locale.nls>
 <C:\WINDOWS\system32\sorttbls.nls>
 <C:\Documents and Settings\Mio Nome\Impostazioni locali\Dati
applicazioni\ykval.exe>
 <C:\WINDOWS\system32\user32.dll>
 <C:\WINDOWS\system32\gdi32.dll>
 <C:\WINDOWS\system32\advapi32.dll>
 <C:\WINDOWS\system32\rpcrt4.dll>
 <C:\WINDOWS\system32\secur32.dll>
 <C:\WINDOWS\system32\shell32.dll>
 <C:\WINDOWS\system32\msvcrt.dll>
 <C:\WINDOWS\system32\shlwapi.dll>
 <C:\WINDOWS\system32\ole32.dll>
 <C:\WINDOWS\system32\oleaut32.dll>
 <C:\WINDOWS\system32\comctl32.dll>
 <C:\WINDOWS\system32\shimeng.dll>
 <C:\WINDOWS\AppPatch\sysmain.sdb>
 <C:\WINDOWS\system32\imm32.dll>
 <C:\WINDOWS\system32\lpk.dll>
 <C:\WINDOWS\system32\usp10.dll>
 <C:\WINDOWS\system32\ctype.nls>
 <C:\WINDOWS\WinSxS\x86_Microsoft.Windows.Common-Controls_6595b64144ccf1df_6.0.2600.2982_x-ww_ac3f9c03\comctl32.dll>
 <C:\WINDOWS\WindowsShell.Manifest>
 <C:\WINDOWS\system32\sortkey.nls>
 <C:\WINDOWS\system32\iphlpapi.dll>
 <C:\WINDOWS\system32\ws2_32.dll>
 <C:\WINDOWS\system32\ws2help.dll>
 <C:\WINDOWS\system32\mfc42.dll>
 <C:\WINDOWS\system32\mfc42loc.dll>
 <C:\WINDOWS\system32\msvcirt.dll>
 <C:\WINDOWS\system32\rasapi32.dll>
 <C:\WINDOWS\system32\rasman.dll>
 <C:\WINDOWS\system32\netapi32.dll>
 <C:\WINDOWS\system32\tapi32.dll>
 <C:\WINDOWS\system32\rtutils.dll>
 <C:\WINDOWS\system32\winmm.dll>
 <C:\WINDOWS\system32\urlmon.dll>
 <C:\WINDOWS\system32\iertutil.dll>
 <C:\WINDOWS\system32\wininet.dll>
 <C:\WINDOWS\system32\normaliz.dll>
 <C:\WINDOWS\system32\rpcss.dll>
 <C:\WINDOWS\system32\uxtheme.dll>
 <C:\WINDOWS\system32\msctf.dll>
 <C:\WINDOWS\system32\winlogon.exe>
 <C:\WINDOWS\system32\xpsp2res.dll>
 <C:\WINDOWS\system32\clbcatq.dll>
 <C:\WINDOWS\system32\comres.dll>
 <C:\WINDOWS\system32\version.dll>
 <C:\WINDOWS\Registration\R000000000015.clb>
 <C:\WINDOWS\system32\wbem\wbemprox.dll>
 <C:\WINDOWS\system32\wbem\wbemcomn.dll>
 <C:\WINDOWS\system32\wbem\wbemsvc.dll>
 <C:\WINDOWS\system32\wbem\fastprox.dll>
 <C:\WINDOWS\system32\msvcp60.dll>
 <C:\WINDOWS\system32\ntdsapi.dll>
 <C:\WINDOWS\system32\dnsapi.dll>
 <C:\WINDOWS\system32\wldap32.dll>
 <C:\WINDOWS\system32\msxml3.dll>
 <C:\$Mft>
 <C:\WINDOWS\system32\msxml3r.dll>
 <C:\Documents and Settings\Mio Nome\Impostazioni locali\Dati
applicazioni\ykval.dat>
 <C:\WINDOWS\system32\c_28591.nls>
 <C:\Documents and Settings\Mio Nome\Impostazioni locali\Dati
applicazioni\ykval_navps.dat>
 <C:\WINDOWS\system32\msv1_0.dll>
 <C:\WINDOWS\system32\oleacc.dll>
 <C:\WINDOWS\system32\oleaccrc.dll>
 <C:\WINDOWS\system32\ieframe.dll>
 <C:\WINDOWS\system32\psapi.dll>
 <C:\WINDOWS\system32\msctfime.ime>
 <C:\WINDOWS\system32\mshtml.dll>
 <C:\WINDOWS\system32\config\software>
 <C:\WINDOWS\Temp\msksetup.log>
 <C:\WINDOWS\system32\config\system>
 <C:\WINDOWS\system32\userenv.dll>
 <c:\autoexec.bat>
 seguito da una breve stringa di spazi e di caratteri;
 <c:\>
 seguito da una lunga stringa di spazi e di caratteri;
 e poi, senza il consueto separatore,
 <c:\>
 al quale segue un diverso separatore, e quindi
 <C:\Documents and Settings\>
 poi un altro diverso separatore e
 <C:\Documents and Settings\Mio Nome\>
 poi un altro diverso separatore e
 <C:\Documents and Settings\Mio Nome\Impostazioni locali\>
 poi un altro diverso separatore e
 <C:\Documents and Settings\Mio Nome\Impostazioni locali\Dati applicazioni\>
 poi un separatore maggiore del consueto e
 <C:\WINDOWS\>
 poi un diverso separatore e
 <C:\WINDOWS\AppPatch\>
 poi un altro diverso separatore e
 <C:\WINDOWS\Registration\>
 poi un altro diverso separatore e
 <C:\WINDOWS\system32\>
 poi un altro diverso separatore e
 <C:\WINDOWS\system32\wbem>
 poi un altro diverso separatore e
 <C:\WINDOWS\WinSxS\>
 poi un altro diverso separatore e
 <C:\WINDOWS\WinSxS\x86_Microsoft.Windows.Common-Controls_6595b64144ccf1df_6.0.2600.2982_x-ww_ac3f9c03\>
 seguito da tredici spazi, e finisce.
 
 => Nota:
 
 <C:\$Mft>
 <C:\WINDOWS\Temp\msksetup.log>
 
 Al momento non si trovano.
 
 Non son gli unici casi. Per esempio anche la cartella
 <C:\System Volume Information>
 risulta vuota, nonostante vi parta periodica attività
 (quando il computer va in pausa) segnalata dall'antivirus,
 e se cerco di ottenere il permesso di accedervi il
 comando non funziona, e anche il prompt non si apre (o
 meglio, la finestra compare per una frazione di secondo).
 
 
 --- segue la cartella con l'exe e altri quattro file ---
 
 <C:\Documents and Settings\Mio Nome\Impostazioni locali\Dati applicazioni\>
 
 === i cinque file ykval nella cartella ===
 
 <C:\Documents and Settings\Mio Nome\Impostazioni locali\Dati
applicazioni\ykval.dat>
 
 (281 kB Applicazione)
 <C:\Documents and Settings\Mio Nome\Impostazioni locali\Dati
applicazioni\ykval.exe>
 
 <C:\Documents and Settings\Mio Nome\Impostazioni locali\Dati
applicazioni\ykval_nav.dat>
 
 <C:\Documents and Settings\Mio Nome\Impostazioni locali\Dati
applicazioni\ykval_navfx.dat>
 
 <C:\Documents and Settings\Mio Nome\Impostazioni locali\Dati
applicazioni\ykval_navps.dat>
 
 ---
 
 
 -*_ uniposta(at)
yahoo.it
 -*_ uniposta(at)
gmail.com
 
--------------------------------
Inviato via 
http://arianna.libero.it/usenet/


Io proverei a controllare i file sospetti su:
www.virustotal.com

 che mi
 sembrava più interessante poiché sembrava essere la parte operativa,
 dinamica, che si aggiorna, di tutto il pacchetto, ho cominciato
 a dare un'occhiata ai file .dat (oltre alla prima occhiata che
 avevo già dato al nucleo principale .exe), e ho trovato una
 prima parola, YUTETN, che ho usato per fare una ricerca in rete:
 
http://www.google.it/search?hl=it&q=yutetn&meta=
 
 ...i primi risultati della ricerca parlano di trojan e di rootkit.
 
 Ecco, io ipotizzo che il clone modificato di un programma ancora
 in via di sviluppo, Web Media Player, oltre al web media player
 mi abbia installato quell'altra roba, la cui prima funzione
 sembra quella di farmi ricevere pubblicità e proposte di vendita
 in continuazione. Altre funzioni non saprei. Mi sembra ragionevole
 supporre che il forte rallentamento attuale del computer sia
 dovuto in parte a quel sofware e in parte all'antispyware
 che blocca un sacco di processi per controllarli.
 
 - Vado, ritornerò in un altro momento con nuovi aggiornamenti



 e inoltre risultano aggiornati a oggi ed all'ora attuale i file
 <C:\Documents and Settings\Mio Nome\Impostazioni locali\Dati
applicazioni\ykval.dat>
 <C:\Documents and Settings\Mio Nome\Impostazioni locali\Dati
applicazioni\ykval_navps.dat>
 
 ---
 
 Segnalo comunque una cosa utile e interessante che mi sembra di
 aver notato al riguardo della pubblicità che mi viene inviata:
 se mi ritrovo in rete in un ambito tematico, per esempio su un
 determinato newsgroup, sembra che non mi arrivi pubblicità generica
 ma mirata, in tema. Questo per dire, che se fossi fortunato potrei
 ricevere automaticamente un'informazione su una cosa che mi
 interessa, senza dover andare a cercare in rete.
 
 Voglio dire, potrà sembrare assurdo, ma se questo software
 si limitasse a far ricevere pubblicità e non facesse danni
 al computer, potrebbe risultare conveniente utilizzarlo per
 fargli fare ricerche automatiche e portarti i risultati
 
 ---



Non si limitano (quasi) mai solo a questo. E comunque non devono farlo senza 
il tuo permesso. O no? :-)
Ciao 

 Ciao
 
 



Per questo dai una passatina con Ccleaner
Fidati, il programma che ti ho consigliato e molto potente, meglio se in 
modalità provvisoria (premi F8 all'avvio).
E segui i consigli del BRAVISSIMO Vincenzo che ti toglieranno sicuramente 
(...al 99%) dai guai.
Fammi sapere.
Ciao 

 Ciao
 
 - Nel frattempo confermo che con Safari vado via liscio e non
 ho gli assurdi rallentamenti e problemi che avevo con explorer


 si comportano in quel modo, non posso aprirle
 
 ---
 
 


 23:19 aggiornamento.
 
 L'anti-spyware SpyBot aveva bloccato un'azione di ykval, e quindi
 ykval aveva cambiato nome in aqqks alla maggior parte dei sui file,
 .exe compreso, e aveva ricreato un file .pf ma col nome aqqks.
 
 Ha ritentato l'azione col nuovo nome, bloccato di nuovo.
 
 Allora ho trasferito tutti i file in una cartella individuale, ma
 come immaginavo una manciata di secondi dopo son stati ricreati
 due nuovi file .dat nella principale cartella di partenza. Allora
 ho provato a rinominare tutti i file, ma la cosa si ripeteva. Nel
 frattempo avevo fatto una copia compressa .zip di tutto quanto.
 Ma la cartella originale non si poteva cancellare, e nemmeno il
 file .exe. Allora ho provato a rinominare anche le estensioni,
 inutile anche quello. Nel frattempo avevo cominciato a cercare nella
 cartella _restore per vedere che non vi fossero copie di backup,
 ma dopo un po' ho lasciato perdere, poiché altri file mi venivano
 segnalati dall'antivirus. Allora, ho avviato una scansione
 dell'antivirus e nel frattempo rinominavo e cancellavo i nuovi
 file .dat. Alla fine ho aperto il task manager e ho visto che
 in effetti risultava funzionante aqqks.exe, e non la sua versione
 rinominata. Ho interrotto il processo e così ho potuto cancellarlo.
 Nel frattempo, però, l'antivirus (Avira Antivir) aveva trovato una
 serie di TR/
Dldr.Java.OpenConnection.AQ
 - Trojan poco pericoloso.
 Niente, la scansione sta continuando, e dopo farò quella di SpyBot.
 
 Questi trojan che ho qua son poco pericolosi,
 son facili da prendere e non fanno danni gravi


 ho provato a rinominare tutti i file, ma la cosa si ripeteva....
Come ti ho già detto tutto quello che fai viene vanificato dal ripristino 
configurazione di sistema e dalle strategie polimorfe del virus.
Leggi la pagina di Vincenzo che ti ho dato. Non è altro che una serie di 
passaggi "ben collaudati" da mooooolte persone, che ti porterà, visto anche 
che non sei certo un novellino, certamente alla meta. Capisco che forse ti 
stai anche divertendo con questa caccia, ma attento perche il virus che ti 
fa scaricare tutte quelle bestiacce, rischi di non prenderlo. Tu dai la 
caccia ai fratellini, mentre il fratello grande di distrugge il sistema. 
Tienine conto.
Se vuoi uccidere il serpente schiaccia la testa...
Comunque complimenti, si vede che di informatica ne mestichi parecchio.
Ciao 

Dimenticavi:
di solito a comportarsi nel modo che descrivi tu sono i rootkit e quelli 
mica li fregni cosi.
Creano chiavi di registro e caricano malware dalla rete.
Dammi retta leggiti la guida di Vincenzo, procurati gli strumenti giusti 
e...nessuna pietą.
Buona caccia e torna vincitore. 

 Comunque complimenti, si vede che di informatica ne mestichi parecchio.
 
 - e qui ci andrebbe un rotfl, ma io non sono il tipo


  quello che era e basta. ce ne saranno altri simili, semmai...
No, quello che trovi e' solo il figlio dell'infezione principale,
infatti, tu cancelli, e lui te lo ricrea al volo.
Fino a che non trovi il _vero_ rootkit, non te ne libererai.
-- 
           |Save our planet!
    Ciao   |Save wildlife!
   roberto |For your E-MAIL use ONLY recycled Bytes  !!
           |roberto poggi   
rpo...@softhome.net

 Fino a che non trovi il _vero_ rootkit, non te ne libererai.
 
 - Forse non mi son spiegato... ho eliminato il file .exe che
 funzionava anche rinominato (anche nell'estensione) e che
 ri-creava gli altri file (.dat e .pf). Mica esistono solo
 quelli super, sapete, ci sono anche quelli piccolini


 quelli super, sapete, ci sono anche quelli piccolini
Si, č vero, ma perchč continua a ricrearti questi file?
Per sicurezza controlla nel registro se ci sono voci strane che lanciano 
qualcosa all'avvio.
Un buon programma per fare questo č HijackThis, lo trovi sul sito della 
MicroTrend.
Crea solo il file di log con il primo pulsante in alto, poi fai analizzare 
il file su
http://www.ilsoftware.it/hijackthis.asp
Se trovi qualcosa che non va, puoi "fixarlo". Ma prima googla un po per 
vedere che non sia un programma che hai installato tu.
Di guide ne troverai molte, se non sai dove cercare puoi partire da quě
http://www.ilsoftware.it/articoli.asp?ID=2459
http://www.zeusnews.it/index.php3?ar=stampa&cod=4701
I Rootkit sono "bastardi". Magari ti fanno credere di avarli 
eliminati...poi...
Sempre sul sito della MicroTrend c'č un ottimo AntoRootkit. La scansione 
dura solo pochi minuti. Ne vale la pena.
Ciao 

 Si, č vero, ma perchč continua a ricrearti questi file?
 
 - Forse non mi son spiegato... ho eliminato quel file .exe,
 e gli altri file .dat e .pf non vengon piů ricreati.
 
 Le uniche copie dell'exe e di quegli altri le ho in una
 cartella compressa che poi, con comodo, aprirň in Linux.
 
 Non posso farne un caso gigante di ogni
 stronzatina che trovo, non finirei piů.
 
 Grazie per le info utili


 Grazie per le info utili
Grazie a te e scusa per la mia paranoia.
Ciao