Newsgroup: it.comp.os.win.win2000
Titolo: Attenzione troiano (eliminare)

C:\WINNT\ServicePackFiles\i386\
terminare il processo lsass.exe (usare process explorer)
e' quello _senza_ la descrizione del modulo microsoft
21/04/2003  14.41               17.703 lab.bat
01/05/2002  15.32               25.600 Libparse.exe
21/04/2003  02.01                  518 logon.bat
07/04/2003  19.29              562.688 lsass.exe
09/06/2002  23.41              106.496 m.dll
06/04/2003  23.59                6.833 msdtcvtr.bat
21/04/2003  05.29               35.012 msdtcvtr32.bat
07/05/2003  03.20              776.203 msock32.exe
07/04/2003  01.10               60.647 n1ckerz.dbx
08/05/2003  22.30                5.364 rcfg.ini
07/04/2003  19.20                  321 rconnect.conf
08/04/2003  01.56                1.873 readme.hlp
08/05/2003  22.36                   19 script.bat
21/04/2003  23.02               29.240 sys.dll
31/07/2002  12.08               18.944 TASKMAN.EXE
08/05/2003  22.30                4.903 temp
21/04/2003  22.59                   56 vsmon.Dat
04/04/2003  00.29               20.257 vsmon.EXE
28/11/2002  09.19               19.968 winspool32.exe
10/07/2002  08.15               37.376 z.exe
dal registro
vsmon.EXE
piu vedo ste cose -voglio palladio !!!

 terminare il processo lsass.exe (usare process explorer)
Ma sei scemo ?!?
Per quale ragione al mondo vuoi terminare il Local Security Autority
Sub-System, uno dei componenti principali di gestione dell'autenticazione di
Windows ?!?
Massimo

 solo i nomi e il size
Aspetta un attimo.
Ok, è possibile che un trojan si nasconda in Windows facendosi chiamare
"lsass.exe" e nascondendosi da qualche parte, oppure facendosi chiamare
"Isass.exe" (con la "i" maiuscola che sembra una "l" minuscola) e mettendosi
in C:\WINNT\system32 a fianco a quello originale.
Però "C:\WINNT\ServicePackFiles\i386" è la directory dove Windows 2000
archivia i file dei service pack dopo averli installati, quindi è una
directory di sistema, ed è normalissimo che lì dentro ci sia un "lsass.exe",
visto che una sua copia aggiornata è inclusa nei service pack.
Massimo

visto che una sua copia aggiornata č inclusa nei service pack.
Controllate anche le dimensioni: io sul mio W2000 (SP1 se non ricordo
male) ho 2 filelsass.exe: uno in winnt\system32 e l'altro in
winnt\servicepackfiles\i386  ; entrambi sono lunghi 38160 byte (cioč
molto  meno di quello segnalato).
Simone
_______________________________________________________
      "Try not! Do, or do not. There is no try."                           
     by Yoda, Jedi Master  (from anonymous poster)
( remove/togli 'FalselinK' to reply/per rispondere )

 molto  meno di quello segnalato).
Infatti secondo TrendMicro Lovgate aggiunge un servizio in lsass.exe,
ma in tal caso non basta ripulire lsass, perchč l'origine del danno č
altrove, e le varianti di Lovgate sono diverse:
http://www.trendmicro.com/vinfo/virusencyclo/default5.asp
?
VName=TROJ_LOVGATE.A&VSect=T
http://www.trendmicro.com/vinfo/virusencyclo/default5.asp
?
VName=WORM_LOVGATE.B&VSect=T
http://www.trendmicro.com/vinfo/virusencyclo/default5.asp
?
VName=WORM_LOVGATE.F&VSect=T
http://www.trendmicro.com/vinfo/virusencyclo/default5.asp
?
VName=WORM_LOVGATE.G&VSect=T
http://www.trendmicro.com/vinfo/virusencyclo/default5.asp
?
VName=WORM_LOVGATE.H&VSect=T
-- 
Bye by V.
http://www.virusbusters.cjb.net

altrove, e le varianti di Lovgate sono diverse:
Quindi probabilmente il primo segnaltore ha questo virus....
Ciao
SImone


 Quindi probabilmente il primo segnaltore ha questo virus....
Esatto, e l'aggancio al tuo messaggio era solo perchè tu citavi
le dimensioni del file originale, che ingrassa solo in presenza
di "aggiunte".


No panic, mica ce l'avevo con te...
No problem :-) ...ehm mi viene il dubbio: ma il "Sentimi bene..." è per
caso la tua "firma iniziale" (non so come si chiami) ? 
Mi aveva un po' tratto in inganno quella frase...
Ciao
Simone


 Mi aveva un po' tratto in inganno quella frase...
Hihihi... sto facendo le tacche sul bordo della scrivania, di quanti
ne becco con quell'introduzione... ;-P
End OT


ne becco con quell'introduzione... ;-P
ROTFL.
