Newsgroup: it.comp.sicurezza.windows
Titolo: Rundll36

Ho gia' scritto qualche giorno fa, ma non sono riuscito a risolvere il
problema, ho bisogno del file rundll36.exe, che non riesco a trovare sul cd
di windows e che non so da che applicazione sia usato per cercarlo da
qualche altra parte, spero abbiate qualche suggerimento.
Ciao e grazie.

 ho bisogno del file rundll36.exe, che non riesco a trovare sul cd
Sarà difficile trovarlo visto che si chiama rundll32.exe :-)
-- 
dario...@galactica.it
 (pgp key on pgp servers)
http://dariocorti.tsx.org
ICQ#: 37438061
"...and if they steal your light your heart is still in mine..." - TSP


Non e' lui, il rundll32 ce l'ho nel sistema, ma all'avvio il sistema mi
chiede proprio il file rundll36, ho provato anche a toglierlo dal file
winini ma me lo richiede ugualmente.
.... proprio adesso ricontrollando mi sono accorto che era presente questa
stringa nel system.ini:
shell=Explorer.exe rundll36.exe
cancellando rundlll36 da qui e come avevo gia' fatto dal winini pare
funzionare tutto, fatto sta che prima questo file lo ricercava, spero che
non mi venga richiesto in seguito.
Ciao :-)

Ciao :-)
Sa tanto di cavallino di troia. Hai passato un buon antivirus per
controllare?
stefano


Ho installato apposta il McAfee perche' avevo la "sensazione" di essermi
beccato qualcosa, ed infatti l'antivirus mi aveva segnalato un errore su 2
file, il McAfee consente un repair con il primo file la coera andata a buon
fine, sul secondo (il Rundll36) ho accidentalmente premuto il tasto delete
anziche' repair, da qui e' nato tutto il casino che dicevo sopra, ora pero'
dopo aver pulito il winini e il system tutto sembra funzionare per il
meglio, anche l'antivirus non segnala piu' problemi, non sono molto pratico
di trojan che dite posso stare tranquillo o mi consigliate qualche altra
procedura?



Comunque per sicurezza qui di solito consigliano di effettuare una
seconda scansione completa con un altro antivirus e di solito indicano
l' avp, 
www.avp.it
 o 
www.avp.ch
. Dopo dovresti controllare  con
regedit i registri che cominciano per run in
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion e
controllare se sono presenti file sospetti e puoi installare anche un
firewall, che ne trovi anche gratuiti tipo zonealarm o sygate.
Comunque informazioni più ampie, le trovi nelle sequrfaq del gruppo.
http://members.nbci.com/gouldukat/
www.linuxvalley.com/~lserni
it.faq

 shell=Explorer.exe rundll36.exe
Al 99% era una bella backdoor, o trojan...
-- 
News2000 1.5ß Version 
http://socket2000.8m.com

Al 99% era una bella backdoor, o trojan...
Al 100%:
TROJ_RUNDLL36 
 Virus type:   Trojan    
Aliases:
RUNDLL36 
Description:
This is a Trojan horse. It is detected by the latest pattern file. 
Solution:
Trend customers
Keep your pattern file and scan engine updated. Trend Micro antivirus
software can clean or remove most types of viruses. Certain  viruses,
such as Trojans, scripts, overwriting viruses and joke programs which
are identified as "uncleanable", should simply be deleted.
All Internet users
For a quick check-up of your PC, use HouseCall - Trend Micro's free
on-line virus scanner. This will check for viruses which may already
be on your PC.
To keep your computer healthy by catching viruses before they have a
chance to infect your PC or network, get the best antivirus solution
available today. Trend Micro offers antivirus and content security
solutions for home users, corporate users and ISPs.
_____________________________________________

 it.faq
Ti ringrazio.
Ciao

 it.faq
Ti ringrazio.
Ciao
Ah un ultimo consiglio stavo controllando il regedit e l'unica stringa che
non capisco e' questa:
WMBoot ""
Ti dice qualcosa?


Nel registro non l' ho trovata. E' nei registri run per caso? A
giudicarla così sembra una stringa vuota, quindi senza nessun effetto
(apparentemente, però i mascheramenti che hanno inventato per i trojan
sono infiniti. Dovresti controllare con alt+ctrl+canc se è in
esecuzione qualcosa di simile. Poi puoi controllare a computer non
collegato con netstat -na (da console dos) se ci sono porte aperte
sospette, poi allacciandoti alla rete, ma senza collegamenti di sorta,
smpre con netstat -na 3 (3 è il timeout) controllare per qualche
minuto sempre se ti si aprono connessioni sospette. Se nulla capita
non dovresti avere più problemi..


Ok provero'
Ciao e grazie dell'aiuto.

 giudicarla cosě sembra una stringa vuota, quindi senza nessun effetto
Attenzione che credo che "la chiave non esiste" sia diverso che "la
chiave esiste ma e' vuota".
-- 
Max e la produttivita' in ambiente Windows
SecurFaq             : 
http://members.nbci.com/gouldukat/
Biancorossi Siamo Noi: 
http://www.tifonet.it/free/ancona/

chiave esiste ma e' vuota".
Accennavo a "" come stringa vuota, sbagliato qualcosa? Grazie.
stefano

 Accennavo a "" come stringa vuota, sbagliato qualcosa? Grazie.
Non conoscendo la backdoor in questione, intendevo solo precisare che
"Chiave con stringa vuota" e' diverso da "Chiave inesistente". Il
programma potrebbe testare anche la sola presenza della chiave per i
suoi scopi, senza interessarsi del contenuto, e senza che ci sia neanche
un contenuto (nel senso di coppie <Valore, Dato>).
