Newsgroup: it.comp.sicurezza.windows
Titolo: Richiesta di aiuto: io, il Dialer e netazhov......

Premetto che sono uno che "ci sta attento", non apro mai mail di
sconosciuti.... e non apro allegati neanche da mail di conoscenti.
Purtroppo,  ultimamente, la ricerca con Google sembra essere diventato il
miglior modo per infettarsi, con dialers in genere. Il giorno 20, durante
una ricerca, vado a finire sul solito sito russo che ti tiene 10 secondi
caricandoti ogni ben di Dio. Ci siamo, dico, eccomi servito!! Bestemmiando
con me stesso: -devo prendere la sana abitudine... di aprire prima la pagina
cache- !! Comunque , male da poco, faccio una scansione e tolgo  gli
intrusi. Inizio con A-Squared: nulla, poi AVG: nulla ...... infine Spybot
SeD: nulla. Strano, penso..... eppure ero proprio sicuro!!
Il giorno dopo verso mezzogiorno.... trovo la linea adsl disconnessa.
riconnetto e mi metto al lavorare, pocodopo si stacca .......ancora. 'Avolo
un Dialer!!!  Ma come mai A-Sq. non ha bloccato la connessione?
Stacco la linea del Modem che uso per il fax... ma ormai la frittata è
fatta, il giorno dopo scoprirò che sono state fatte telefonate
internazionali per 58 Euro. Fortunatamente Telecom, visto il consumo anomalo
in poche ore, ha bloccato le internazionali. Ed io che mi ero limitato a
bloccare tutti i numeri a pagamento e quelli satellitari!!
A questo punto la scansione, nella directory TEMP di windows, mi rivela un
dialer denominato gmquxia.exe, provo ad eliminarlo.... e poco dopo,
naturalmente, ritorna col nome cambiato. Dò un'occhiata al log e scopro i
numeri che sono stati chiamati....... sono di  Fareham, in Gran Bretagna;
due chiamate di 15 minuti cad. Il giorno dopo, alla stessa ora il dialer
tenta ancora la connessione ... ne approfitto per studiarlo con
ProcessExplorer ed Autoruns. Trovo che il responsabile è un file  in
/system32/ si chiama netazhov.exe. l'avevo già notato il giorno prima  ma la
data di creazione non corrispondeva.... essendo del 2004. Lo blocco .... ed
il dialer non si crea più. Riavvio il PC ... riattivandolo e ProcessExplorer
mi indica che è in attesa dell'orario giusto per fare le due chiamate,
suppongo. Ecco adesso che mi sono divertito qualcuno potrebbe aiutarmi a
capire di cosa si tratti?? Cosa devo Fare? AVG e Spybot sembrano impotenti!!
Grazie,
Ninnar.

 'Avolo un Dialer!!!  Ma come mai A-Sq. non ha bloccato la connessione?
Cerca Stop Dialer ed installalo .
Non ti risolve il problema ma ti elimina il rischio di chiamate indesiderate
.
Stò gestendo un caso simile presso una ragazza , Kaspersky ha trovato un
trojan nuovo e non c'è ancora il remover tool , e con Spybot Search &
Destroy attivo ( Immunizza ) riesce a rimanere collegata per più di due ore
senza problemi .
Nel caso di caduta della connessione per l' intervento di Stop Dialer , ti
consiglio di andare in connessioni di rete ed eliminare la connessione
creata dal dialer . Fino al riavvio dovresti essere a posto .
Ciao , Guido
P.S. Se si combattessero questi fenomeni come si combatte il P2P
............. !

venerdì 25/05/2007 14.54, *Ninnarago* ha scritto:
[cut]
Preleva Hijackthis da questo indirizzo
http://download.hijackthis.eu/hijackthis_199.zip
fai una scansione rapida e copia&incolla il risultato in questa finestra
http://www.ilsoftware.it/hijackthis.asp
 [log file]
vedi quali sono le chiavi sospette ed inutili - quelle pericolose saranno
sottolineate da un punto esclamativo - ed eliminale.
Riavvia il sistema. Dovrebbe funzionare.
Cerca di *NON* usare assolutamente Internet Explorer. Scegli un browser
alternativo come Firefox oppure Opera. 
Ciao.
-- 
< Nathan > ~ email 
nata...@x-planet.org
 ~
«All I ever wanted - All I ever needed
Is here in my arms - Words are very unnecessary
They can only do harm» (Enjoy the silence, Depeche Mode)


Nel mio caso , non riesci a lanciare HiJackThis .
Appena passi sopra la cartella che lo contiene o su un' e-mail con oggetto
HijachThis viene terminata l' esecuzione e ti ritrovi sul desktop .
E , se cambi il nome , riesci per un attimo a vedere la prima schermata di
HijachThis e poi sei sul desktop e dal quel momento anche il nome nuovo
viene intercettato dal dialer .
Il dialer si presenta con il nome di lark e n. tel. 254238711.
Fatta la scansione con Kaspersky on-line mi ha trovato
Trojan.Win32.agent.amf .
Non sò se il dialer ed il trojan sono prodotti dallo stesso infame ma .....
è la prima volta che mi capita di trovare una cosa così .
Ho già letto la dritta che riguarda la sostituzione di rasapi.dll ed oggi
andrò a provarla prima della formattazione .
Ciao , Guido

 alternativo come Firefox oppure Opera.
Ho analizzato il commento del logfile..... tutto OK, tranne che il file 
netazhov. exe, appunto, siccome mi sono scocciato di bloccare la sua 
esecuzione ad ogni avviamento del PC, volevo eliminarlo, perň non vorrei 
succedessero casini.....

 HijachThis viene terminata l' esecuzione e ti ritrovi sul desktop .
Probabilmente ti conviene lanciarlo da modalità provvisoria. In ogni caso,
termina i processi sospetti controllando da
http://www.castlecops.com/StartupList.html
 oppure da
http://www.sysinfo.org/startuplist.php?filter=msupd4.exe
Ciao


 succedessero casini.....
Non devi soltanto killare il processo in questione, devi eliminare il
processo che lo lancia con hijackthis, mettendo il segno di spunta nella
finestra di analisi e cliccando su "FIX".


 
http://www.sysinfo.org/startuplist.php?filter=msupd4.exe
Il bello della rete è che trovi sempre qualcosa da imparare e qualcuno che 
ti aiuta .
Grazie , mi hai dato indicazioni che userò frequentemente perchè mi sono 
sempre chiesto se esisteva in rete quello che tu mi hai consigliato .
Purtroppo dove devo intervenire ( gratuitamente ! ) non esiste ADSL e non ti 
dico la pena .....
Mi arrangio come posso con una chiavetta USB scaricando programmi e consigli 
da casa mia e , purtroppo , è limitativo il fatto di dover dipendere dalla 
rete per scansioni online e scaricamenti dell' ultima ora .
Ciao , Guido .
P.S. Mi dimenticavo , anche in modalità provvisoria HijackThis viene 
intercettato !