Newsgroup: it.comp.os.win.win2000
Titolo: Stranissimo comportamento [lungo]

Ho un win2k pro sp4 sempre aggiornato, ieri di punto in bianco si è 
messo a fare continui accessi al disco, ho utilizzatto filemon per 
capire cosa succedeva ed il risultato è questo:
9.16.18	SERVICES.EXE:228	FLUSH	C:\WINNT\system32\config\system	SUCCESS		
9.16.18	SERVICES.EXE:228	WRITE 	C:	SUCCESS	Offset: 12288 Length: 4096	
9.16.18	SERVICES.EXE:228	WRITE 	C:\WINNT\system32\config\system	SUCCESS 
Offset: 0 Length: 512	
9.16.18	SERVICES.EXE:228	FLUSH	C:\WINNT\system32\config\system	SUCCESS		
9.16.18	SERVICES.EXE:228	WRITE 	C:	SUCCESS	Offset: 8192 Length: 4096	
9.16.18	SERVICES.EXE:228	WRITE 	C:	SUCCESS	Offset: 2560000 Length: 4096	
9.16.18	SERVICES.EXE:228	WRITE 	C:	SUCCESS	Offset: 4096 Length: 4096	
9.16.18	SERVICES.EXE:228	WRITE 	C:	SUCCESS	Offset: 12288 Length: 4096	
9.16.18	SERVICES.EXE:228	WRITE 	C:\WINNT\system32\config\system	SUCCESS 
Offset: 4096 Length: 512	
9.16.18	SERVICES.EXE:228	WRITE 	C:\WINNT\system32\config\system	SUCCESS 
Offset: 85504 Length: 512	
9.16.18	SERVICES.EXE:228	WRITE 	C:\WINNT\system32\config\system	SUCCESS 
Offset: 3785216 Length: 1024	
9.16.18	SERVICES.EXE:228	FLUSH	C:\WINNT\system32\config\system	SUCCESS		
9.16.18	SERVICES.EXE:228	WRITE 	C:	SUCCESS	Offset: 8192 Length: 4096	
9.16.18	SERVICES.EXE:228	WRITE 	C:	SUCCESS	Offset: 2560000 Length: 4096	
9.16.18	SERVICES.EXE:228	WRITE 	C:	SUCCESS	Offset: 4096 Length: 4096	
9.16.18	SERVICES.EXE:228	WRITE 	C:	SUCCESS	Offset: 12288 Length: 4096	
9.16.18	SERVICES.EXE:228	WRITE 	C:\WINNT\system32\config\system	SUCCESS 
Offset: 0 Length: 512	
9.16.18	SERVICES.EXE:228	FLUSH	C:\WINNT\system32\config\system	SUCCESS		
9.16.18	SERVICES.EXE:228	WRITE 	C:	SUCCESS	Offset: 4186112 Length: 4096	
9.16.18	SERVICES.EXE:228	WRITE 	C:	SUCCESS	Offset: 8192 Length: 4096	
9.16.18	SERVICES.EXE:228	WRITE 	C:	SUCCESS	Offset: 2560000 Length: 4096	
9.16.18	SERVICES.EXE:228	WRITE 	C:	SUCCESS	Offset: 4096 Length: 4096	
9.16.18	SERVICES.EXE:228	WRITE 	C:	SUCCESS	Offset: 12288 Length: 4096	
9.16.18	SERVICES.EXE:228	FLUSH	C:\WINNT\system32\config\SYSTEM.ALT	SUCCESS		
9.16.18	SERVICES.EXE:228	WRITE 	C:	SUCCESS	Offset: 8192 Length: 4096	
9.16.18	SERVICES.EXE:228	WRITE 	C:\WINNT\system32\config\SYSTEM.ALT 
SUCCESS	Offset: 0 Length: 512	
9.16.18	SERVICES.EXE:228	FLUSH	C:\WINNT\system32\config\SYSTEM.ALT	SUCCESS		
9.16.18	SERVICES.EXE:228	WRITE 	C:	SUCCESS	Offset: 12288 Length: 4096	
9.16.18	SERVICES.EXE:228	WRITE 	C:	SUCCESS	Offset: 2777088 Length: 4096	
9.16.18	SERVICES.EXE:228	WRITE 	C:	SUCCESS	Offset: 4096 Length: 4096	
9.16.18	SERVICES.EXE:228	WRITE 	C:	SUCCESS	Offset: 8192 Length: 4096	
9.16.18	SERVICES.EXE:228	WRITE 	C:\WINNT\system32\config\SYSTEM.ALT 
SUCCESS	Offset: 4096 Length: 512	
9.16.18	SERVICES.EXE:228	WRITE 	C:\WINNT\system32\config\SYSTEM.ALT 
SUCCESS	Offset: 85504 Length: 512	
9.16.18	SERVICES.EXE:228	WRITE 	C:\WINNT\system32\config\SYSTEM.ALT 
SUCCESS	Offset: 3785216 Length: 1024	
9.16.18	SERVICES.EXE:228	FLUSH	C:\WINNT\system32\config\SYSTEM.ALT	SUCCESS		
9.16.18	SERVICES.EXE:228	WRITE 	C:	SUCCESS	Offset: 12288 Length: 4096	
9.16.18	SERVICES.EXE:228	WRITE 	C:	SUCCESS	Offset: 2777088 Length: 4096	
9.16.18	SERVICES.EXE:228	WRITE 	C:	SUCCESS	Offset: 4096 Length: 4096	
9.16.18	SERVICES.EXE:228	WRITE 	C:	SUCCESS	Offset: 8192 Length: 4096	
9.16.18	SERVICES.EXE:228	WRITE 	C:\WINNT\system32\config\SYSTEM.ALT 
SUCCESS	Offset: 0 Length: 512	
9.16.18	SERVICES.EXE:228	FLUSH	C:\WINNT\system32\config\SYSTEM.ALT	SUCCESS		
9.16.18	SERVICES.EXE:228	WRITE 	C:	SUCCESS	Offset: 12288 Length: 4096	
Praticamente SEVICES.EXE accede continuamente (ogni 2 secondi!!) ho 
pulito il registro, controllato la presenza di Spy/virus/worm ed è tutto 
pulito, l'elenco dei processi running è normale, attività di rete 
normale! (nelle eventview non ci sono entry particolari)
Se qualcuno ha idea di cosa potrebbe essere, non mi va di reinstallare 
una installazione che lavora tutti i giorni dignitosamente da quasi 4 anni
Ciao

 ha scritto:
CUT
|| Praticamente SEVICES.EXE accede continuamente (ogni 2 secondi!!) ho
|| pulito il registro, controllato la presenza di Spy/virus/worm ed è
|| tutto pulito, l'elenco dei processi running è normale, attività di
|| rete normale! (nelle eventview non ci sono entry particolari)
|| Se qualcuno ha idea di cosa potrebbe essere, non mi va di
|| reinstallare una installazione che lavora tutti i giorni
|| dignitosamente da quasi 4 anni Ciao
è un virus
Netsky.B
Data di scoperta: mercoledì 18 febbraio 2004 Tipo: WormRischio: Medio
Trasmissione del virus: E-MailDimensioni del file: 22 KByte
Fonte: Symantec
Piattaforma colpita: Windows
Danni: Consumo di banda per l'autoreplica, distribuzione di file su più
directory dell'utente
Rimozione: Tool di Rimozione Symantec, Tool di Rimozione Panda Software
(occorre registrarsi)
Articoli di supporto: Cinque antivirus gratuiti per Windows
Un worm complicato, che non cancella nulla ma inzeppa l'Hard Disk di file un
po' dappertutto. Provoca un appesantimento del sistema e traffico inutile
per l'autoinvio. La mancanza di riferimenti, il soggetto invitante e lo
"spoofing" degli indirizzi possono causare la diffusione di massa. Può
infettare le cartelle di sistemi di condivisione peer to peer.
Attivazione
Per eseguirlo è necessario avviare il file che giunge in allegato ad un
messaggio di posta elettronica solitamente con estensione .doc
(visualizzando dunque un'icona di Word) o scaricato dal computer dell'utente
attraverso sistemi peer to peer. Ecco un esempio del messaggio veicolato
tramite e-mail:
From: 
xxx...@bau.unibe.ch
To: 
reda...@html.it
Subject: something for you
Date: Thu, 19 Feb 2004 10:44:03 +0100
here, the cheats
File in allegato: location.pif
Sia il mittente, sia il soggetto, sia il contenuto dell'e-mail possono
mutare ma la struttura rimane la stessa.
Azioni
Il file in allegato all'e-mail si presenta nomi invitanti (
p.es
. document,
msg, creditcard, attachment ecc.) e, una volta attivato, esegue le seguenti
operazioni:
Visualizza un box di dialogo con la scritta "The file could not be opened!"
Copia se stesso nella cartella di Windows con il nome services.exe
Cancella alcuni valori relativi a virus precedenti dal registro di sistema
Memorizza indirizzi e-mail per l'autoinvio scansionando i file presenti sul
computer (18 tipologie di file diversi, da .html a .txt).
Copia file infetti dai nomi invitanti (
p.es
. doom2.doc.pif, sex sex sex
sex.doc.exe, photoshop 9 crack.exe, max payne 2.crack.exe ecc.) in tutte le
directory in cui compare il nome "Share" o "Sharing" in modo da distribuirsi
via sistemi peer to peer
Si autoinvia falsificando l'indirizzo mittente agli indirizzi trovati nei
file scansionati
Crea 40 file zip nella cartella di Windows con all'interno copie del worm
Attraverso la chiave
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run il file
services.exe viene attivato ad ogni avvio di Windows.
(Attenzione: il file services.exe, nei sistemi Windows, è presente
regolarmente nella directory di sistema di Windows [C:\Windows\system o
C:\Winnt\System32 o C:\Windows\System32] e non nella directory di Windows
[C:\Windows o C:\Winnt] dove viene copiato dal worm).
Rilevamento
Il worm può essere rilevato se nel computer viene reperito (attraverso una
ricerca tra i file) il file services.exe nella directory di Windows oppure
l'esistenza di diversi file dal nome uguale nella directory di Windows con
data di creazione recente o successiva al giorno della presunta infezione.
Rimozione
http://securityresponse.symantec.com/avcenter/venc/data/w32.n...@mm.removal.tool.html
Attenzione: il nome del virus può mutare da analisi ad analisi. Nella nostra
scheda fa fede il nome attribuito al virus da Symantec.
http://virus.html.it/virus/cat_3/virus_23/netsky.b.html

 
No Magari sarebbe Facile così
purtroppo mi fa solo accessi ,ma l'occupazione di spazio su disco non 
cambia, non mi scrive niente, inoltre nel RUN HKLM ecc non esiste 
nessuna voce, inoltre non ho ricevuto nessuma mail, non faccio Peer to 
peer su questa macchina in rete con altri 30 PC solo lui patisce
Ma forse sto capendo qualcosa...
dipende (probabilmente ) dal perfdisk.dll che si deve essere "rotta" e 
fa sta cagata qui ora vedo di indagare ancora più a fondo.
Ciao e grazie

 ha scritto:
||
|| No Magari sarebbe Facile cosě
|| purtroppo mi fa solo accessi ,ma l'occupazione di spazio su disco non
|| cambia, non mi scrive niente, inoltre nel RUN HKLM ecc non esiste
|| nessuna voce, inoltre non ho ricevuto nessuma mail, non faccio Peer
|| to peer su questa macchina in rete con altri 30 PC solo lui patisce
|| Ma forse sto capendo qualcosa...
|| dipende (probabilmente ) dal perfdisk.dll che si deve essere "rotta"
|| e fa sta cagata qui ora vedo di indagare ancora piů a fondo.
|| Ciao e grazie
Comunque il controllo virus lo farei; io sono paranoico. Comunqeu se trovi
la soluzione la posteresti qui??? grazie
-- 
Marco Detto Buffer
marcodilenardoatdrenchia.com
http://www.drenchia.com

 
L'ho fatto come prima cosa!!
Se risolvo la posto volentieri
Ciao

 Ciao
Risolto!!!
Allora la questione è un po lunga:
avevo sbagliato strada indirizzandomi sulla Perfdisk.dll che era 
assolutamente incolpevole, cmq è stata disabilitata e male non le fa, il 
problema erano dei "driver" (tra virgolette perchè non degni di 
chiamarsi tali)installati da un applicativo utilizzato per bloccare i 
modem sui laptop di Dominio.
Giorni fa è stato abbandonato il sw e disinstallato, ma la 
disinstallazione lasciava alcuna sporcature nel registro che tentavano 
di riavviare questi driver...
Fin qui nessun problema, il problema era generato dal fatto che 
services.exe, che gestisce tra l'altro eventview non riusciva a scrivere 
la entry e tentava all'infinito...(non ho capito easttamente perchè)
Ho riinstallato il software monitorando tutti i passaggi fatti dopodichè 
l'ho disinstallato andando a pulire tutto il registro et voilà!!!
Ciao

 ha scritto:
||
|| Risolto!!!
|| Allora la questione è un po lunga:
|| avevo sbagliato strada indirizzandomi sulla Perfdisk.dll che era
|| assolutamente incolpevole, cmq è stata disabilitata e male non le
|| fa, il problema erano dei "driver" (tra virgolette perchè non degni
|| di chiamarsi tali)installati da un applicativo utilizzato per
|| bloccare i modem sui laptop di Dominio.
|| Giorni fa è stato abbandonato il sw e disinstallato, ma la
|| disinstallazione lasciava alcuna sporcature nel registro che
|| tentavano di riavviare questi driver...
|| Fin qui nessun problema, il problema era generato dal fatto che
|| services.exe, che gestisce tra l'altro eventview non riusciva a
|| scrivere la entry e tentava all'infinito...(non ho capito
|| easttamente perchè)
|| Ho riinstallato il software monitorando tutti i passaggi fatti
|| dopodichè l'ho disinstallato andando a pulire tutto il registro et
|| voilà!!!
||
è incredibile. i driver.
oggi ho imparato qualcosa :D