Newsgroup: it.comp.sicurezza.windows
Titolo: file sospetto

Sono andato da un cliente perchè aveva il pc (win 2000 pro sp3) che gli 
faceva i capricci; a parte qualche trojan nei temporanei internet (più che 
altro bugbear damaged), ho visto che in esecuzione c'è un file dal nome 
strano, 0t3d0z.exe;
Tale file se lo cerco col "cerca" non lo trovo ma è presente nel registro come
C:\WINNT\downlo~1\wcso\0t3d0z.exe
Se tento di stopparlo mi dà permesso negato.
Il pc ha nod32, una adsl con firewall sul router; ho provato con spybot 
1.3, mi trova qualche trackibg cookie ma si blocca all'eliminazione; nod 
32 non ha trovato niente di strano così come ad aware.
Non ho provato a cancellarlo da provvisoria perchè hanno contabilità, 
remote banking ecc, quindi ho paura di rovinare altro software. Una 
ricerca su san google non mi ha dato nessun risultato: qualcuno sa cos'è 
sta roba?
Grazie
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
	Prima di parlare collegare la spina del cervello,
	 leggere e in caso di schermata blu riavviare.

 Il pc ha nod32, una adsl con firewall sul router; ho provato con
<snip>
Beh .. prova ad usare questo "on line scanner/cleaner"
http://housecall.trendmicro.com/housecall/start_corp.asp
e vedi se trova qualcosa... ad ogni modo dal nome è
difficile risalire alla "bestia" visto che spesso i nomi
vengono generati casualmente; un'altro tool che
potresti provare è "pskill" che trovi su sysinternals
(
www.sysinternals.com
) e che ti permette di "killare"
un processo passando il nome o il PID
Ciao

 Se tento di stopparlo mi dà permesso negato.
Prova con qualche tool tipo tqManager
http://www.driveritalia.it/software/utenti/tqm.asp
che dovrebbe riuscire a stoppare l'esecuzione, anche in modalità
normale.
Se poi lo trovi puoi farlo analizzare qui
http://www.virustotal.com/
basta inserire una mail valida perchè il responso arriva in mail
poco dopo l'analisi.
-- 
Bye by V.

 un processo passando il nome o il PID
Alcuni AV tempo fa (KAV ad esempio), segnalavano pskill come
malware, se lo installa gli conviene levarlo dopo aver fatto
il lavoro, per evitare panico utOntico in future scansioni.
-- 
Bye by V.

 
OK, appena ripasso ci provo.
Ciao e grazie


 malati?
Urgh... se è proprio remote banking (di quelli dedicati, non Internet) 
potrebbe essere proprio lui.
A quel punto puoi provare a stopparlo, e far tentare una connessione a
chi usa il remote, se il remote non funziona o te lo rimette in piedi,
hai scoperto l'arcano, sempre che sia possibile a livello pratico fare
una cosa del genere - numero di utenti - numero di addetti - rompic. -
papaveri in fregola.
Anche per il gestionale, potrebbe esserci attivo qualcosa che tiene il
conto degli utenti o lo stato della licenza o degli aggiornamenti - il
softwarista malato è sempre in agguato :-)
Mi sono tolta uno sfizio, e l'unico riferimento che ho trovato in rete
per wcso è Wing Commander Secret Ops, un vecchio gioco che pare ancora
in auge e... va fatto funzionare in modalità dos e questo spiegherebbe
forse il troncamento del nome, nel percorso, ma non capisco perchè non
dovrebbe essere visibile :-( anche se ho il dubbio che la cartella che
contiene sta roba sia Downloaded Program Files.
-- 
Bye by V.

 
Ho provato da run a inserire la cartella tildata e mi ha aperto giusto 
quella, a meno che non sia un bel sistema per non farsi trovare!
Ok, grazie di tutte le info: alla prima occasione ci passo e provo un 
altro po di cosette.


 C:\WINNT\downlo~1\wcso\0t3d0z.exe
A mio parere il problema del fatto che non la vedi in GUI è
dovuto solo al fatto che la cercavi col nome DOS...
...trattasi di C:\WINNT\Downloaded Program Files
;-)
-- 
Walter


Lo so che la cartella è quella, ma da win il file non c'è, da dos sì.



Lo so che la cartella è quella, ma da win il file non c'è, da dos sì.
...oihbo'!....ben strano...?
Prova (in gui) a creare in C:\winnt
un cartella nuova col nome di downlo~1
e vedi cosa succede....?
Curiosità!  ...;-)
-- 
Walter