Newsgroup: it.comp.sicurezza.windows
Titolo: [HELP] problema con svchost, cydoor e AD AWARE pro

Salve a tutti
Mi servirebbe un aiuto specifico per questa questione.
All'avvio del sistema, adwatch di ad aware pro segnala  che in
\system32\svchost.exe è presente Cydoor.
Quando cerco di rimuovere tale chiamata dal controllo dei processi, ottengo
questa schermata (che riporto):
--
Attenzione!
processo identificato
(Oggetto rilevato in memoria)
oggetto: Svchost.exe
percorso: c:\winnt\system32\
Categoria: Data Miner
Produttore: Cydoor
Commento:
Scegliere come si vuole procedere
--
se clicco su blocca, tale finestra si ripresenta indefinitamente, se scelgo
permetti, viene rilevato il processo in memoria... in controllo dei processi
il mio sistema è così composto: windows 2000 pro, NIS 2003, linea ADSL
Alice.
Se qualcuno potesse darmi informazioni su come procedere e/o da cosa sia
dovuta tale chiamata e come rimuovere tale spyware (a quanto ne so Cydoor è
uno spyware) gliene sarei immensamente grato.
Uso il pc per lavoro (attività legale) e tale cosa mi inquieta molto.
Saluti a tutti
Gianni

 
www.lavasoft.de
 e scarica Ad-Aware.
Uso Ad Aware dalla 5.83. Il problema me lo segnala Ad-awatch 6.0, elemento
del pro 6.0, che non riesce in alcun modo a eliminare il problema. Neppure
posso cancellare svchost, che è un file di sistema.
Oltre a ciò, mi spieghi come avrei fatto crosspost? Ho mandato 3 messaggi
uguali e separati a 3 NG IT, credo...
ciao
qu

 uguali e separati a 3 NG IT, credo...
- per definizione, se un post č IT su uno non lo č su un altro
- il "multipost" č diverso (in peggio) dal "crosspost".
Bye, G.

 - il "multipost" è diverso (in peggio) dal "crosspost".
Questo non lo sapevo, ma i post sono singoli e separati. Se poi il problema
è identico, non pensavo di dover modificare il post pro-forma. La cosa che
mi rattrista è che, nella pratica, mi sembra che nessuno abbia la minima
idea del problema che ho posto, che mi sembra francamente grave ed insolito,
finendo per parlare solo di questo crosspost.
cmq, spero qualcuno possa anche spiegarmi un attimo -cosa- fare per
rimuovere il problema, non lo pretendo, ma è sconfortante che tutti i reply
siano stati basati su una lettura superficiale o peggio travisata di quello
che ho postato.
Da qualche tempo noto sempre più spesso che più internet si massimizza, meno
si è disposti ad accogliere richieste di aiuto, ma temo sia un fenomeno
inevitabile.
Comunque, la mia domanda era chiara e specifica, evidentemente speravo
troppo.
qu

 crosspost.
La cosa che mi rattrista e' che, nella pratica, puntualmente si prenda
il newsgroup come un helpdesk, senza avere la minima idea del fatto che
in realta' sono gruppi di discussione, che qui la gente viene anche per
ampliare le proprie conoscienze, non solo per aiutare l'ultimo niubbo
che arriva...
-- 
HappyCactus - Linux User #209744 - 
http://pngstego.sourceforge.net
 
 
www.google.com
 - 
groups.google.com
/* Ci sono 10 categorie di persone al mondo: quelle che capiscono */
/* il sistema binario e quelle che non lo capiscono.              */

 quello non so che altro dirti.
capito, non lo sapevo, ciao e grazie
qu

 che arriva...
questo è quanto di più disgustoso e antidemocratico abbia mai letto su un
newsgroup :(
la forza e la base per cui da sempre esiste usenet è lo scambio di
informazioni e la reciproca disponibilità a dare informazioni i termini
garbati (anche quando si parla di netiquette).
da quel che leggo, il tuo post, che peraltro assieme ad altri di altri
utenti (thorin in primis) non è il primo che polemizza inutilmente ed
assume toni palesemente provocatori, viola in tutto e per tutto le tanto
famose regole che tu stesso porti ad esempio (la netiquette c'è ed è per
tutti!).
se non si ritiene che la domanda posta da un utente sia pertinente, o la
si ignora o garbatamente si indica il perchè possa non esserlo. se dopo
aver fatto 1000 volte la seconda sei scazzato, passi alla prima, e basta!
perchè provocare flame ad una domanda, ingenua quanto vuoi, di un utente,
ingenuo quanto vuoi?
se ci si ritiene particolarmente intelligenti per un certo livello di
discussione, sarebbe il caso di dividere i ng in sezioni QI<50 e QI>50
così da mettere in pace stupidi e geni. odio polemizzare, però volevo dire
la mia!
-- 
questo articolo e` stato inviato via web dal servizio gratuito 
http://www.newsland.it/news
 segnala gli abusi ad 
ab...@newsland.it

 di un utente, ingenuo quanto vuoi?
Nessuno ti ha vietato di scrivere, ho solo commentato l'ennesimo niubbo
che si lamenta perche' non riceve aiuti. Tutto qui. Respira, distenditi,
rileggi.


 Sei pericolosamente vicino al killfile..
mentre tu, con questa tua affermazione, ci sei entrato direttamente.
Onor di pace, evito di usare il termine trolling su chiunque, salvo le
estreme conseguenze,ma qua siamo arrivati al ridicolo.
tanto per chiarire,
titolo del post:
[HELP] problema con svchost, cydoor e AD AWARE pro
tua prima risposta:
Prima ancora ti serve qualcuno che ti spieghi che il multipost fa solo
incazzare la gente invece di garantirti una risposta. Detto cio', vai su
www.lavasoft.de
 e scarica Ad-Aware.
Infine, movetrhead su I.C.C.Lamer... Bene, leggano e vedano coi i loro occhi
chi č il lamer.
I miei post sono disponibili da 1995 con il mio nome, susseguentemente,
causa cloning, con questo nick.
Ora questo tuo post. Mi spiace, ma questa č evidenza, o evidence, nel
cercare la rissa verbale. Ora, io non ho il tempo di farne.
per l'occasione:
--
Avv. Gianfranco Silvestri
Specialista in Diritto Informatico
Membro della RSA

 ottengo questa schermata (che riporto):
Ho il tuo stesso problema... solo XP+FPROT+AWPro6
QUello che mi dispiace e' che sono stati capaci di creare un thread di
chiacchiere e non hanno dato un minimo aiuto al problema.
--
Buona giornata... serena sopratutto.
   Poll

 Membro della RSA
Hai dimenticato di mettere "fan ufficiale di kiss me licia"
http://gisil.interfree.it/index.html
BTW, dovresti aggiornare i link di pagina 4, alcuni sono sballati e
puntano a files locali del tuo hard disk.
saluti.


 percorso: c:\winnt\system32\
Siamo sicuri che non sia sCVhost.exe?
E che AdAware lo riconosca come "maligno", ma non lo inquadri
a dovere?
http://securityresponse.symantec.com/avcenter/venc/data/troja
n.dasmin.b.html
Sottoponi il file a queste scansioni:
http://www.kaspersky.com/fr/remoteviruschk.html
http://www.dialognauka.ru/english/www_av/
-- 
Bye by V.
http://www.virusbusters.cjb.net

 puntano a files locali del tuo hard disk.
E "se vuoi sapere chi sono" in versione "esperto" punta qui
http://www.puntogames.com/
 con occasionale invito di Gator.


saluti.
Anche i miei, e grazie per -l'altra- risposta.
qu

 
http://www.puntogames.com/
 con occasionale invito di Gator.
Anche vero. Ho scritto alcune recensioni hardware ed editoriali per quel
sito, quando ancora esisteva.
qu

 
http://www.dialognauka.ru/english/www_av/
 fatto, con risultati negativi.
A questo punto o effettivamente ad aware funziona male, o la chiamata è un
errore, o si tratta di qualcosa di ''nuovo''.
La cosa strana è che, a parte tutto, il sistema è sempre aggiornato e ben
protetto, o almeno così credevo.
Grazie dell'aiuto
qu

 chiacchiere e non hanno dato un minimo aiuto al problema.
Quel che dispisce a me č, sopra ogni altra considerazione, che ogni parola
scritta nella maggior parte del thread, escluso un post, sia stata un
inutile flame. Comunque grazie dell'appoggio, se ottengo risposte dai
servizi di assistenza o dai forum dei vari programmi implicati nella
vicenda, ti faccio sapere.
ciao
qu

 saluti.
reciproco
qu

 puntano a files locali del tuo hard disk.
Sito vecchio: non lo aggiorno da almeno 2 anni. Il tempo passa e gli hobby


 Ho il tuo stesso problema... solo XP+FPROT+AWPro6
Aggiornamento. Si trattava effettivamente di una versione di Cydoor che si
caricava, al primo riavvio -tramite- una chiamata con chiave -k (una
variabile di ambiente di scvhost) nel sistema operativo. La sua
eliminabilità, a quanto ho capito, era difficoltosa a causa del fatto che,
essendo scvhost un componente ineliminabile del SO, il processo faceva parte
di una catena necessaria al funzionamento del medesimo.
I sistemi maggiormante colpiti erano quelli basati su tecnologia NT.
Comunque, l'aggiornamento del 26 marzo per la versione pro di ad-aware,
elimina il problema.
Rimango convinto che i soldi spesi per registrare ad-aware lo sono stati
ottimamente :)
problema risolto.
Ciao
qu

qu wrote:
ehi, esperto, hai dei problemi di multiposting. 
alek
-- 
il presidente bush ha dichiarato che per punire la totale, sprezzante
noncuranza delle risoluzioni ONU da parte di saddam sara' necessaria
una totale, sprezzante noncuranza delle risoluzioni dell'ONU.
the boondocks - Aaron McGruder

 hobby ne fanno le spese.
Ti capisco benissimo. :(
HappyCactus e tanti progetti fermi...


 stati ottimamente :)
senz'altro. Anche se per me non e' una soluzione (meglio usare software
libero)


 è un errore, o si tratta di qualcosa di ''nuovo''.
se si tratta di svchost.exe sito in c:\windows\system (o dove cacchio
e' quello buono), effettivamente ci sono due probabilita':
1) falso positivo (non sarebbe strano)
2) svchost taroccato che richiama quello buono rinominato. per
verificare, scaricati md5sum, calcola l'hash del file e confrontalo con
uno sicuramente buono. Se differiscono, e' probabile che sia marcio.
Magari invialo a qualche esperto per sventrarlo.


 che finisce nel killfile.

 che finisce nel killfile.
Addirittura arrivi a credere di essere talmente famoso che la gente arrivi
qui per polemizzare con te?
Non ti pare di esserti allargato un pò con quella frase?
Fabio.

 libero)
Parli con un ammiratore di Stallman e dell'etica dell'Homebrew Computer
Club, ipse facto
''metterci su le mani''
Il sotware proprietario ha avuto innegabili vantaggi, dipende se è ancora
necessario o meno.


 è un errore, o si tratta di qualcosa di ''nuovo''.
se si tratta di svchost.exe sito in c:\windows\system (o dove cacchio
e' quello buono), effettivamente ci sono due probabilita':
1) falso positivo (non sarebbe strano)
2) svchost taroccato che richiama quello buono rinominato. per
verificare, scaricati md5sum, calcola l'hash del file e confrontalo con
uno sicuramente buono. Se differiscono, e' probabile che sia marcio.
Magari invialo a qualche esperto per sventrarlo.
1. il processo è stato effettivamente rimosso
2. il checksum è esatto. Propendo per un taroccato che richiamava, a questo
punto.

 questo punto.
Semplice checksum, CRC32, o hash? perche' i primi due, afaik, sono
relativamente facilmente aggirabili. anche se magari non e' questo il
caso...


 questo punto.
Semplice checksum, CRC32, o hash? perche' i primi due, afaik, sono
relativamente facilmente aggirabili. anche se magari non e' questo il
caso...
Tutti esatti. Il caso rasenta il mistero mitologico e/o il genio da linea di
comando.
Nel frattempo, tanto per stare sicuri, ho orinato un firewall hardware.
Cosa ne freghi a un Hacker serio, poi, dei miei atti giurisprudenziali, e
IMO un affare da chiarire...
ciao
qu

 hardware.
Terribile, poi ti hanno dovuto ricoverare? ;))
-- 
Ciao:-). Cadfael
La verità è sacra; e se dici la verità troppo spesso, nessuno ti
crederà.
G. K. Chesterton

 Terribile, poi ti hanno dovuto ricoverare? ;))
Naahhh, brucia un po' ma non e' grave. ;-))
-- 
Zac

 Terribile, poi ti hanno dovuto ricoverare? ;))
ROTFL :) uno dei miei refusi migliori da almeno 6 anni :P
eheheheheh
...mi sa che ci costruirň sopra una barzelletta per gli amici
qu

 giurisprudenziali, e IMO un affare da chiarire...
Beh, dipende da chi e' quest'hacker: immagina fosse il vostro avversario
legale.
Comunque, l'acquisto di un firewall hardware mi sembra una soluzione un
po' inutile, se, come pare, il problema sorge dall'interno... Io,
personalmente, avrei agito diversamente...


 personalmente, avrei agito diversamente...
anch'io: Linux
http://www.suse.de/it/private/products/suse_linux/office_desktop/index.html
Ma non c'è verso.
ciao