Newsgroup: it.comp.sicurezza.windows
Titolo: quando svchost.exe fa misteriose connessioni?

Salve
Ho chiuso tutti i programmi di accesso ad internet ...poi con tcpview ho 
visto che
da svchost partono strane connessioni a siti .
Chiedo se esiste un programma migliore di tcpview che magari visualizza 
quale sia il programma "fonte" e
chiedo se secondo voi il NOD32 che tengo attivo a questo punto non sia 
sufficiente a rilevare questi ipotetici virus ?
 

 sufficiente a rilevare questi ipotetici virus ?
Non esiste antivirus perfetto. La migliore soluzione resta quella di
cercare di non avere a che fare con il malware.
¹
http://technet.microsoft.com/en-us/sysinternals/bb896653.aspx
-- 
Ciao, Guglielmo.

 cercare di non avere a che fare con il malware.
Ho eseguito le tue istruzioni ..il pid è 1364
aprendolo con process explorer>service  vengono fuori
dcom launch   c:\windows\system32\rpcss.dll
termservice c:\windows\system32\termsrv.dll
cosa ne deduci?
 

 cosa ne deduci?
Che semto puzza di sozzerie. Il path è quello giusto, però quel termsrv.dll
non mi piace affatto. Riguarda i "servizi terminal", se vai nella finestra
di gestione dei servizi troverai la descrizione.
Che dirti? A me non piace il fai questo, prova quest'altro, poi mettilo
così e quindi cosà...
Buon divertimento:
http://www.microsoft.com/italy/technet/community/mvp/editoriali/spyquick.mspx
-- 
Ciao, Guglielmo.

 di gestione dei servizi troverai la descrizione.
grazie Guglielmo
se qualcun'altro ha qualche dritta accetto volentieri
 

 se qualcun'altro ha qualche dritta accetto volentieri
aggiungo che il processo/servizio in oggetto ha questa riga di comando
C:\WINDOWS\system32\svchost -k DcomLaunch
 

 grazie Guglielmo
Dimeticavo, inviali a virustotal e falli controllare. Sia mai che siano
loro stessi stati oggetti della più classica delle dll injection.
http://www.virustotal.com/it/
-- 
Ciao, Guglielmo.

 
http://www.virustotal.com/it/
li ho fatti analizzare ma nulla di fatto.
Conosci un modo per analizzare proprio il dcom e capire quale programma lo 
stia sfruttando in quel momento?
 

 vai nella finestra di gestione dei servizi troverai la descrizione.
infatti "puzza" abbastanza, specie se non sono stati attivati i
servizi "desktop remoto"; sarebbe comunque utile controllare
con TcpView quali porte siano coinvolte nel traffico in questione

 ha scritto nel messaggio 
news:g0s9cl$rpo$1...@megan.servidellagleba.it...

le connessioni partono dalle porte più svariate verso siti web (porta 80)
vi prego datemi una mano ...non voglio formattare :( 

altra cosa che mi fa incazzare è che l' IMON di NOD32 mi fa vedere tutti i 
siti che vengono connessi ... possibile non
si riesca a trovare il "mandante" ? 

si riesca a trovare il "mandante" ? 
Il mandante non puoi chiederlo a IMON. Prenditi ProcExp: ha una funzione
"Find Handle or DLL", che ti trovera' i processi che usano quella DLL.
Se non la trova, pero' TCPView dice che sta girando con PID sarcàzzi, mi
sa che siano volatili per diabetici - perche' uno scherzo cosi' DOVREBBE
poterlo fare solo un rootkit.
Leonardo (oddio, poi con Windows non si sa mai, ma...)
-- 
The stars have not dealt me the worst they could do:
My pleasures are plenty - my troubles are two.
But oh!, my two troubles, they reave me of rest:

 "Find Handle or DLL", che ti trovera' i processi che usano quella DLL.
da processxp se prendo le proprietą del processo in questione (rpcss.dll) al 
suo
interno (Proprietą>handle) ci sono altre dll in gioco .... le ho prese e 
spedite al sito virustotal .... niente
..sempre da processxp se clicco sopra ognuna di queste e premo Stack viene 
fuori qualche altro .exe correlato .....anche questo
mandato a virustotal .... niente!
Scansionato on-line con kasperky settato con euristico avanzato ..... 
niente!
ho provato ad usare un paio di fix dal sito 
steven.altervista.org
(tipo sdfix) ...sembrava avesse trovato qualcosa .... ma dopo un 'oretta 
...ha ricominciato
a sparare ...stavolta invece della porta 80 spara sulla 25 (smtp) ...quindi 
starą spammando a manetta....
...insomma niente!
sta vincendo lui :/ ..... che mi invento?
 

spedite al sito virustotal .... niente
No, non devi vedere quali altre DLL quel processo ha aperte.
Devi vedere quale processo sta usando quella DLL.
Io apro PROCEXP, digito "termsrv.dll", invio, e mi trova UNA istanza di
SVCHOST con pid 792.
Lasciando il mouse sopra quel SVCHOST (ce ne ho altri) il popup mi dice
che quel SVCHOST sta tenendo su Terminal Services e DCOMLaunch.
Se tu ne hai altri / diversi...
Leonardo
