Newsgroup: it.comp.sicurezza.windows
Titolo: Rootkit Revealer

Stavo controllando un PC e ho notato una cosa che mi ha insospettito
Ho scaricato dal sito microsoft il Rootkit Revealer
Ho provato a fare una scansione e ho visto che ogni volta creava un
processo attivo con un nome diverso
prima
game.exe
poi
bg.exe
poi
yauwz.exe
Non ho trovato il file, ma ho visto che è stato generato nella
cartella prefetch di sistema un GAME.EXE 
xxxxxx.pf
lo stesso per gli altri?
Ma è normale?
che ****** significa? la cosa mi puzza un po'
S.



il software genera un file random ogni volta o devo preoccuparmi?
S.

Sokar ha scritto:

Davvero strano.
Hai controllato a quale file è legato il processo
in questione?
Sul sito della microsoft dovresti trovare dei piccoli
software che permettono di fare ciò.
Prova questa suite se non la conosci già
http://technet.microsoft.com/en-us/sysinternals/0e18b180-9b7a-4c49-8120-c47c5a693683.aspx
Facci sapere come va la questione.



Il processo è legato all'applicazione Rootkit Revealer, però non
capisco perché ogni volta gli cambia nome (con Process Explorer vedo
che risulta sempre l'applicazione di sysinternals).
Da quello che capisco è un file che crea sul momento e poi viene
distrutto quando chiudo l'applicazione.
La cosa mi puzza un po'
che dite?
S.

 che dite?
Che e' piu' furbo dei vari rootkit che cerca di trovare, che non
sanno che nome avra', e non potranno bloccarlo, come invece fanno
con gli antivirus *classici*.
Quante volte avete sentito parlare che il virus tal dei tali
disabilita l'antivirus e il firewall?
-- 
           |Save our planet!
    Ciao   |Save wildlife!
   roberto |For your E-MAIL use ONLY recycled Bytes  !!
           |roberto poggi   
rpo...@softhome.net

 
Ma non un virus potrebbe risalire al file
del programma antivirus o antirootkit.
Quindi potrebbe riconoscerlo.

rs ha scritto:

Scusate volevo scrivere "Ma un virus"...

disabilita l'antivirus e il firewall?
quindi č "normale"?
Non č che qualche anima pia puň scaricare il programma e vedere se gli
capita la stessa cosa?
Giusto per essere tranquillo...
S.

 Scusate volevo scrivere "Ma un virus"...
Un virus, nonostante nelle ultime generazioni di rootkit si siano
visti dei begli esempi di tecnologia e furbizia, non e' intelligente.
Quelli che stoppano gli antivirus si basano sul riconoscimento del nome
dell'eseguibile, prendendolo da una lista interna. (almeno finora)


 Giusto per essere tranquillo...
L'ho usato varie volte, e non e' l'unico a comportarsi cosi'.
Ah, a proposito, qualunque eseguibile lanci, in prefetch nasce un
.pf che contiene i parametri per il lancio veloce, e' una feature
di xp, per velocizzare il lancio dei programmi che hai gia' usato
almeno una volta.


processo attivo con un nome diverso
Si', e' una strategia difensiva per non farsi riconoscere da virus e
simili. Altrimenti un rootkit potrebbe "suicidarsi" non appena parte
il processo anti-rootkit, che a quel punto direbbe "Nessun rootkit č
stato trovato" - e sarebbe vero; finche' non riavvii...
GMER mi sembra faccia la stessa cosa.
Leonardo
-- 
And where the black and corkscrew towers climb,
Lost and athirst the ragged pack abides,
Old as the aeons, trapped in tombs of time,
Sailing the tortuous temporal tides

GMER mi sembra faccia la stessa cosa.
ah per fortuna :) mi stavo preoccupando per nulla.
comunque ho guardato anche il forum di sysinternals e ho chiarito
altri dubbi che avevo.
:)
grazie
S.