Newsgroup: it.comp.os.win.win2000
Titolo: Entry in registry e file sospetti

E' da qualche giorno che (in maniera totalmente random) explorer(.exe) mi si
riavvia da solo senza nessun preavviso o messaggio di errore.
Allora sono andato nell'event viewer e mi sono trovato questo evento:
Tipo evento: Informazioni
Origine evento: Winlogon
Categoria evento: Nessuno
ID evento: 1002
Descrizione:
La shell si č arrestata in maniera non prevista. Explorer.exe winsock.scr  č
stato riavviato.
"Explorer.exe winsock.scr"?????? Ho subito pensato ad uno spyware o un
trojan, ma né F-Prot né SpyBot mi dicono niente...
Ancora piů insospettito, ho controllato nel registry e infatti nella chiave
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon, c'č il valore
Shell=Explorer.exe winsock.scr
Questa cosa mi puzza molto, ma sulla rete non ho trovato praticamente
niente. A me quel scr non sembra proprio uno screen saver, tantopiů che
provando a modificare il valore della Shell, al riavvio successivo era
ancora lě, bello come il sole.
Adesso proverň a cancellare il file (me lo lascia fare) e a toglierlo ancora
dalla shell, vediamo cosa succede.
--
Jax
Journeying Artificial Xenomorph

 c'è il valore Shell=Explorer.exe winsock.scr
[CUT]
Probabilmente il sistema è infetto da un virus. Prova ad aggiornare
l'antivirus e ad eseguire una scansione completa del sistema.
Qui puoi trovare un esempio di come questa tipologia di virus agisce sul
registro.
http://securityresponse.symantec.com/avcenter/venc/data/w32.magi...@mm.html
[LINK LUNGO]
Ciao!
-- 
_______________________________
        Microsoft® Technical Advice
         news://
news.microsoft.com
http://support.microsoft.com/newsgroups

 sul registro.
Ma sei sicuro che sia questo? Quello che ho trovato io differisce in *molte*
cose: prima di tutto si avvia automaticamente in un modo che non avevo mai
visto, ossia mettendosi nel valore System nella chiave
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon, quindi msconfig
e simili sono tagliati fuori.
Ma soprattutto non capisco come abbia fatto a prenderlo.
Sono uno di quelli che "ma come si fa a prendere un virus con l'email", e mi
reputo abbastanza ferrato (ok ok non è mai bello dirlo quando si prende un
virus, ma è vero), e adesso mi ritrovo in questa situazione, mi sento
davvero... come dire... impotente.
Uso OE6 senza visualizzare l'HTML e so benissimo quali sono gli allegati da
aprire e quelli da non aprire... io non credo di essermi preso un worm via
mail così stupidamente.
Di sicuro la faccenda non finisce qui.
Comunque grazie per l'aiuto!


?
-- 
  < 
http://www.reactos.com/
 >  Open source clone of Windows NT. Current
      Don't stand, REACT!      version 0.1.1. C, C++ and ASM developers
                               and beta testers are welcome!

 me lo mandi? tempo un giorno o due e potrei dirti cosa fa
Te l'ho mandato in posta, grazie.





> Backdoor.Colfusion e il sistema non è stato in grado di ripulirlo.
Una backdoor quindi. Resta da capire come cappero ho fatto a prendermela.
So che siamo OT, ma hai un buon antivirus free da consigliarmi?
Mi girano discretamente le palle aver pagato per F-Prot che non ha fatto una
piega su questo file.
Grazie ancora.
(se lo vuoi analizzare, te lo rispedisco zippato)
