Newsgroup: it.comp.sicurezza.windows
Titolo: Problema con anti-dialer (forse un rootkit?)

Gentili esperti,
ho già postato oggi su it.comp.aiuto lo stesso contenuto ma lì mi hanno 
cortesemente consigliato di rivolgermi qui per competenza.
Ho letto gli ultimi 1200 messaggi ma non ho trovato il mio caso che qui vi 
espongo.
Non riesco a reinstallare "SetupAntiDialer.exe" che precedentemente 
utilizzavo sul mio PC (Windows XP)
Ad ogni tentativo vedo appena la schermata di Benvenuto ... e poi sparisce e 
non installa l'applicazione.
Questo programma (della Digisoft) lo utilizzavo regolarmente ma qualche 
giorno fa mi è sparita l'icona dalla traybar (un telefono) e seppur 
esistente in "esecuzione automatica" e in programmi non dava più segni di 
efficacia.
L'ho quindi rimosso con difficoltà (non funzionava la disinstallazione con 
Windows e neppure con CCleaner), cestinandolo e pulendo successivamente il 
registro con CCleaner.
Pensando che il file che avevo originariamente conservato fosse corrotto, ho 
cercato in internet di riscaricarlo ma, non appena provvedo, mi cessa il 
collegamento con il sito.
Per trovare virus, troyan e malware vari,ho fatto la scansione con:
-AVG
-Spybot
-Ad-Aware
-Ewido
-A-Squared
-Windows Defender
ma mi risulta tutto negativo.
Ho pulito completamente con CCleaner i file temporanei di Windows, quelli di 
internet e la cronologia.
La cosa strana è che se salvo anche un file text (esempio questo messaggio) 
con nome antidialer lo chiude e non mi fa leggere il contenuto. Solo se è 
diverso da questa voce es. anti-dialer lo posso leggere.
Con cerca file e cartelle ho trovato questo:
ANTIDIALER.EXE-0881AE50.pf
SETUPANTIDIALER.EXE-07057AFD.pf
SETUPANTIDIALER.EXE-2EFF6472.pf
Li ho rimossi nel cestino e cancellato tutto con ccleaner (ma il file text 
antidialer di cui sopra dà lo stesso problema)
Tentando di rilanciare il file exe non me lo installa e con cerca "file e 
cartelle" ottengo nuovamente questo risultato:
SETUPANTIDIALER.EXE-07057AFD.pf
Ho provato a cercare con Google ma non appena lancio la ricerca 
"neutralizzato antidialer" si chiude la schermata.
Ho provato ad andare sul sito 
http://www.digisoft.cc/download.htm
 ma non 
appena chiedo di farmi il download del file SetupAntidialer.exe si chiude la 
schermata!
Come posso rimediare, prima di tentare l'installazione con un altro tipo di 
Antidialer (che forse non potrò ugualmente utilizzare se trova la parola 
antidialer?)
E per finire non posso neppure lanciare Hijack-This (lo scrivo così perchè 
la parola intera darebbe problemi) perchè mi chiude la schermata (non ho 
potuto leggere i messaggi di questo NG con OE su questo argomento)
Grazie per i consigli ..... possibilmente intuibili e magari esposti 
"passo-passo" (... sono un vecchietto di 60 anni;-)
Sergio 

 potuto leggere i messaggi di questo NG con OE su questo argomento)
Per quanto possa servire a qualcuno che dovesse in futuro venirsi a trovare 
in analoga situazione, segnalo che il problema è stato alla fine
efficacemente risolto grazie all'ingegno e alle capacità informatiche di un 
amico superesperto a cui mi sono rivolto.
Dal momento che i programmi di sicurezza citati nella mia originaria 
richiesta non avevano dato frutti, neppure operando "in modalità
provvisoria", usando il programma Vir IT explorer lite (consigliato in 
questo NG) si è scoperto - durante la scansione - l'esistenza del
Trojan.Win32.RootKit.E che si collegava ai seguenti due files
C:\:Poy.exe:$DATA Infetto da Trojan.Win32.Agent.ABK
C:\WINDOWS\drmjd1.dll Infetto da 
BHO.Agent.AS
La rimozione di questi però non risultava sufficiente perchè continuava ad 
essere impedita l'installazione dell'antidialer e persistevano i problemi 
già descritti con il post originario.
Neppure con  l'eliminazione graduale dei programmi in avvio automatico si 
risolveva il problema.
Solo analizzando i processi in esecuzione si è trovato il colpevole: 
c:\windows\canonsensor.exe. Dalle proprietà sembra un eseguibile di MS-DOS.
Non si trovava tra i programmi in esecuzione automatica segnalati 
dall'"Utilità di configurazione di sistema" (msconfig) perché era lanciato 
grazie alla chiave del registro "HKLM\SOFTWARE\Microsoft\Windows 
NT\CurrentVersion\Winlogon" valore "Userinit", più nascosta rispetto alle 
tradizionali chiavi "Run".
E' quindi bastato ripristinare il valore di "Userinit" a 
"C:\WINDOWS\system32\userinit.exe," per evitare l'esecuzione del malware.
Rimane solo un piccolo problema: non è possibile cancellare canonsensor.exe 
perché Windows segnala "Accesso negato" in quanto in esecuzione o protetto 
da scrittura. Il programma non è però in esecuzione (come dimostra il fatto 
che non è tra i processi e che non si presentano più i problemi segnalati 
nel primo post).
La cancellazione non è possibile neppure in modalità provvisoria, da console 
di ripristino di Windows, o avviando con altro sistema operativo (CD 
BartPE).
Qualche consiglio? Come è possibile negare l'accesso a un eseguibile in 
NTFS?
Un cordiale saluto a tutti,
Sergio
-- 
Un uomo saggio impara dall'esperienza, un uomo ancora più saggio impara 
dall'esperienza degli altri. (saggio cinese)