Newsgroup: it.comp.sicurezza.windows
Titolo: Scambio dati sulla conn. internet ma ZAlarm rimane muto, cosa puo' essere??

Dunque, ho notato che, a volte, con la connessione internet attiva in 
condizioni di riposo, cioe' nessuna richiesta di pagine web, l'attivita' 
invece di risultare nulla, presenta uno scambio di dati upload/download !!
ZAlarm non segnala movimenti di dati. L' icona della connessione 
(televisorini) flippa che e' una meraviglia!!
Cosa puo' essere che scambia dati, senza passare attraverso ZAlarm?
E' possibile individuare chi, nel PC, scambia dati?
Grazie e at salut. Il Conte. 

 E' possibile individuare chi, nel PC, scambia dati?
Utilizza contemporaneamente i due programmi seguenti.
- Process Explorer:
http://tinyurl.com/y6nw5d
E' un Task Manager all'ennesima potenza, ti permette di vedere ogni singolo
file quale applicazione sta utilizzando.
- TCP View
http://download.html.it/software/vedi/1415/tcpview/
Questo software controlla le porte attive, fornendo informazioni utili come
lo stato della porta, l'applicazione che la sta utilizzando e l'indirizzo IP
remoto al quale č connessa.
Inoltre fai una scansione con HijackThis, come scritto qui:
http://privacyonline.altervista.org/hijackthis.html
Se puoi riporta qui il log di HijackThis, cosě possiamo aiutarti ad
individuare eventuali chiavi di registro o processi nocivi attivi in
memoria.
-- 
Guida gratuita sulla sicurezza e la privacy on-line:
http://privacyonline.altervista.org

"Lothar" <loth...@TOGLIQUESTOtiscali.it> ha scritto nel messaggio 
news:48241679$0$17944$5fc...@news.tiscali.it...

grazie, ho scaricato i programmi e appena avro' info chiedero'
ancora gentilmente aiuto. At salut. Il Conte. 

 ha scritto nel messaggio
news:g01ad4$s44$1...@nnrp-beta.newsland.it...

ho 2 utenti WinXP: admin(administrator) e userrete(limitato), creati 
recentemente ed ho purgato i
preesistenti.
Dunque: con TCPview su userrete, alla fine del caricamento programmi di
start-up, parte la richiesta di una connessione internet: se acconsento, non 
apre il browser IE6, non
fa' nulla e nulla appare su TCPview.Subito dopo ho fatto HijackThis (vedi 
oltre).
con TCPview su admin,alla fine del caricamento programmi di start-up, viene 
creato un processo
iexplore.exe:2172 /  UDP/ local addr:  nome:1031/ remote addr *.*
se vedo il dett di questo processo si legge:
"C:\Programmi\Internet Explorer\iexplore.exe" 
http://www.download787.com/sanity.php?1=1002553-10038

 
http://www.download787.com/sanity.php?1=1002553-10038
E' probabile che si tratti di un malware che gira in background oppure
installato come plugin di Internet Explorer, il quale tenta di effettuare un
Leak del browser indirizzandolo su quella pagina.
Fai quanto prima una scansione con HijackThis, come scritto qui:
http://privacyonline.altervista.org/hijackthis.html
Se puoi riporta qui il log di HijackThis, cosě possiamo aiutarti ad
individuare eventuali chiavi di registro o processi nocivi attivi in
memoria.
Inoltre fai una scansione Anti-Virus on-line utilizzando il
servizio gratuito offerto da Trend Micro:
http://housecall.trendmicro.com/it/
Vedi se cosě il problema si risolve.


 
http://privacyonline.altervista.org
grazie ancora e saluti a tutti. Il Conte. 

 Leak del browser indirizzandolo su quella pagina.
..................
aggiungo che, se riuscissi a scoprire chi (key di registro o altro) attiva 
il processo
sottostante:
con TCPview su admin,alla fine del caricamento programmi di start-up, viene
creato un processo
iexplore.exe:2172 /  UDP/ local addr:  nome:1031/ remote addr *.*
se vedo il dett di questo processo si legge:
"C:\Programmi\Internet Explorer\iexplore.exe"
http://www.download787.com/sanity.php?1=1002553-10038
si puo' vedere come ammazzarlo.Come fare a scoprirlo??
Grazie ancora. At salut. Il Conte. 

 Ecco qui il log
Elimina la seguente stringa:
O2 - BHO: AL2Spy Class - {DC200356-0864-4F66-8964-5D43A19300F5} -
Dopo averla eliminata riavvia il computer e vedi se il problema č risolto.
In caso contrario segui passo per passo le procedure descritte al seguente 
link, per eliminare ogni eventuale traccia di malware dal tuo sistema:
http://privacyonline.altervista.org/eliminare_malware.html


 
http://privacyonline.altervista.org
al momento, penso ci sia ancora carne sul fuoco prima di andare
a fare la suddetta procedura.
Grazie e saluti. Il Conte.

 Mi sa' che c'e' qualcosa d'altro!! Cosa ne dici?
A questo punto, l'unica cosa che ti posso consigliare è seguire passo per


 
Sono falsi come una banconota da milletrecento euro.
hkcmd dovrebbe essere da 116KB, e non da 15.
igfxtray da 152KB.
igfxpers non ce l'ho nemmeno, ma sicuramente non dovrebbero avere la
data di creazione uguale al momento dell'avvio del dialer.
-- 
           |Save our planet!
    Ciao   |Save wildlife!
   roberto |For your E-MAIL use ONLY recycled Bytes  !!
           |roberto poggi   
rpo...@softhome.net

 data di creazione uguale al momento dell'avvio del dialer.
Il fatto di averli o meno nel sistema, credo dipenda dalla
configurazione del computer e dalla versione dei drivers installati.
Comunque, proprio per toglierci ogni dubbio, consiglio all'autore del thread
di analizzarli con il servizio gratuito Virus Total:
http://www.virustotal.com/it/


 
http://www.virustotal.com/it/
Se ha letto correttamente le proprieta' di quei file, e' inutile.
O meglio, li manda li', e poi li manda a tutte le case antivirus che
ancora non li riconoscono; in questo caso, l'utilita' e per il prossimo.


 registro o altro) attiva il processo sottostante:
autoruns che dice ?
http://technet.microsoft.com/en-us/sysinternals/bb963902.aspx
magari potresti anche controllare "cosa passa" sulla
rete utilizzando uno sniffer come, ad esempio
http://www.nirsoft.net/utils/smsniff.html
ma il problema non è tanto ammazzare *quel* processo,
quanto ripulire per bene il sistema, dato che probabilmente
quello che vedi è solo la "punta dell'icerberg"; dato il tipo
di comportamento rilevato, sulla macchina potrebbe essere
stato installato un rootkit ed in quel caso non basterà togliere
solo "quello che si vede" :D
prova a creare un CD autoavviante con questo
http://www.ubcd4win.com/
e/o con questo
http://dl.antivir.de/down/vdf/rescuecd/rescuecd.exe
avvia il sistema da CD e "dai una bella passata" con i
vari tools

Stamani ho aggiornato i codici-virus di AVIRA e l' Avira guard ha trovato il 
TR in oggetto. L'ho messo in quarantina. Il processo incriminato <con 
TCPview su admin,alla fine del caricamento programmi di start-up, viene
creato un processo
iexplore.exe:2172 /  UDP/ local addr:  nome:1031/ remote addr *.*>
non viene piu' attivato.
Il problema e' che questo troyan si riproduce in forme diverse, su files 
diversi, ad
esempio come dice AVIRA: "Virus or unwanted program 'TR/Dropper.Gen 
[trojan]'
detected in file 
'C:\RECYCLER\S-1-5-21-3460799482-3987041608-3653778040-1012\Dc8.exe.
Action performed: Move file to quarantine"
Bello!! non ho la cartella (anche nascosta) C:\RECYCLER !!
Sto cercando come eliminare il trojone.
Se qualcuno mi puo' aiutare, ancora grazie.
At salut. Il Conte. 

 ha scritto nel messaggio 
news:g08sa3$ocd$1...@nnrp-beta.newsland.it...

vi aggiorno: la sub RECYCLER esiste, non la vedevo perche' ero entrato (come 
di solito,ora) con utente limitato.
Ho fatto uno scan completo con Avira ed ha messo in quarantina un migliaio 
di files
tutti sospettati di essere o Dialer o Dropper.gen !!!
Dopo di che ho riavviato piu' volte e Avira guard rimane muto e non si 
presentano, fino
ad ora, esiti strani!!
Sembra debellato con la semplice messa in quarantina di tutti i files !!??
Ho guardato e controllato il registro e ci sono numerosi errori. Non li ho 
riparati,
che fare?
Saluti. Il Conte. 

 il TR in oggetto ....
un'altra faccenda strana: ho fatto uno scan completo con Avira una settimana 
fa' e
non aveva trovato nulla .... oggi si!?
Non credo che l'aggiornamento dei codici-virus sia la motivazione, almeno 
che
il Dropper.gen che ho (avevo) non sia una variante molto recente e che 
l'abbiano
inserita nei codici proprio nell' ultima settimana. Mi par comunque un po' 
strana la
coincidenza.