Newsgroup: it.comp.aiuto
Titolo: [CROSS] sysaudio.sys

Ciao a tutti,
oggi ho reinstallato AVIRA e ho aggiornato le definizioni. Fino a ieri, le
definizioni erano di qualche settimana fà.
Con mio grande stupore, l'AV ha trovato il seguente virus:
Begin scan in 'C:\WINDOWS\system32\sysaudio.sys'
C:\WINDOWS\system32\sysaudio.sys
    [DETECTION] Contains recognition pattern of the RKIT/Agent.evl root kit
Il file, ha data di creazione venerdì 31 agosto 2001 e ultima modifica
giovedì 17 giugno 2004, 18.55.42.
Rispetto al SYSAUDIO.SYS che si trova in \SYSTEM32\DRIVERS questo NON ha
firma digitale.
La dimensione è 14,0 KB (14.336 byte) su disco 16,0 KB (16.384 byte).
Nonostante tutte queste "anomalie" di questo file, sono ancora convinto che
sia un fake altert.
C'è qualcuno tra di voi che potrebbe aiutarmi a capire?
Grazie,
Pipppero

 ha scritto nel messaggio 
news:4927fb57$0$1072$4faf...@reader2.news.tin.it...

Fai una controprova con Kaspersky(vai sul sito), puoi sia sottomettere il 
file
per una analisi immediata che fare una scansione on line
del tuo PC.
Spesso mi ha risolto.

 kit
[...]
Manda il file qui 
http://analysis.avira.com/samples/index.php
 per l'analisi.
Fai analizzare quel file anche qui: 
www.virustotal.com
 e qui
http://virusscan.jotti.org
Newsgroup adatto per il genere di questione: it.comp.sicurezza.virus e/o
microsoft.public.it.sicurezza
-- 
Vincenzo Di Russo
Microsoft® MVP - Most Valuable Professional since 2003
Windows Internet Explorer, Windows Desktop Experience & Security
My MVP Profile: 
https://mvp.support.microsoft.com/profile/Vincenzo
My Blog:  
http://blogs.dotnethell.it/vincent/

 del tuo PC.
Ciao,
ecco il risultato:
      Scanned file:   sysaudio.sys - Infected
      sysaudio.sys - infected by Rootkit.Win32.Agent.evl
Cosa mi consigli di fare? Di cancellarlo e basta?
Ho controllato una decina di volte registro e processi attivi ma non vedo
proprio nulla di sospetto.
Inoltre sembra che il file l'ho scaricato nel 2004 (!).

 ha scritto nel messaggio 
news:49280190$0$1087$4faf...@reader1.news.tin.it...

Non so se basta cancellarlo, cerca sul sito di Avira info su questo
rootkit ed eventuali tool di rimozione.

 rootkit ed eventuali tool di rimozione.
Ho fatto anche una scansione con 
http://online.us.drweb.com/
 e mi dice
CLEAN, però.
Ecco i risultati di 
http://virusscan.jotti.org/
:
      File:  sysaudio.sys
      Status:  INFECTED/MALWARE (Note: this file has been scanned before.
Therefore, this file's scan results will not be stored in the database)
      A-Squared  Found nothing
      AntiVir  Found RKIT/Agent.evl
      ArcaVir  Found nothing
      Avast  Found Win32:Rootkit-gen
      AVG Antivirus  Found nothing
      BitDefender  Found nothing
      ClamAV  Found nothing
      CPsecure  Found nothing
      Dr.Web  Found nothing
      F-Prot Antivirus  Found nothing
      F-Secure Anti-Virus  Found Rootkit.Win32.Agent.evl
      G DATA  Found Win32:Rootkit-gen
      Ikarus  Found nothing
      Kaspersky Anti-Virus  Found Rootkit.Win32.Agent.evl
      NOD32  Found nothing
      Norman Virus Control  Found W32/Rootkit.UGC
      Panda Antivirus  Found nothing
      Sophos Antivirus  Found Mal/Generic-A
      VirusBuster  Found nothing
      VBA32  Found nothing
Molti non lo vedono neppure come virus!
Che faccio?

 
http://virusscan.jotti.org
File sysaudio.dll received on 11.22.2008 06:24:47 (CET)
      Antivirus Version Last Update Result
      AhnLab-V3 2008.11.21.0 2008.11.21 -
      AntiVir 7.9.0.35 2008.11.21 Rkit/Agent.evl
      Authentium 5.1.0.4 2008.11.22 -
      Avast 4.8.1281.0 2008.11.21 Win32:Rootkit-gen
      AVG 8.0.0.199 2008.11.21 BackDoor.Generic10.ZLE
      BitDefender 7.2 2008.11.22 -
      CAT-QuickHeal 10.00 2008.11.21 -
      ClamAV 0.94.1 2008.11.21 -
      DrWeb 4.44.0.09170 2008.11.22 -
      eSafe 7.0.17.0 2008.11.19 -
      eTrust-Vet 31.6.6222 2008.11.22 -
      Ewido 4.0 2008.11.21 -
      F-Prot 4.4.4.56 2008.11.21 -
      F-Secure 8.0.14332.0 2008.11.22 Rootkit.Win32.Agent.evl
      Fortinet 3.117.0.0 2008.11.21 W32/Agent.EVL!tr.rkit
      GData 19 2008.11.22 Win32:Rootkit-gen
      Ikarus T3.1.1.45.0 2008.11.22 -
      K7AntiVirus 7.10.530 2008.11.21 -
      Kaspersky 7.0.0.125 2008.11.22 Rootkit.Win32.Agent.evl
      McAfee 5441 2008.11.21 -
      McAfee+Artemis 5441 2008.11.21 Generic!Artemis
      Microsoft 1.4104 2008.11.22 -
      NOD32 3632 2008.11.21 -
      Norman 5.80.02 2008.11.21 W32/Rootkit.UGC
      Panda 9.0.0.4 2008.11.22 -
      PCTools 4.4.2.0 2008.11.21 -
      Prevx1 V2 2008.11.22 Malicious Software
      Rising 21.04.50.00 2008.11.22 -
      SecureWeb-Gateway 6.7.6 2008.11.22 Rootkit.Agent.evl
      Sophos 4.35.0 2008.11.22 -
      Sunbelt 3.1.1823.2 2008.11.22 -
      Symantec 10 2008.11.22 -
      TheHacker 6.3.1.1.159 2008.11.19 -
      TrendMicro 8.700.0.1004 2008.11.21 -
      VBA32 3.12.8.9 2008.11.21 -
      ViRobot 2008.11.18.1474 2008.11.18 -
      VirusBuster 4.5.11.0 2008.11.21 -
      Che devo fare?

       Che devo fare?
http://blogs.dotnethell.it/vincent/Free-Antivirus-Removal-Tools__2953.aspx
http://blogs.dotnethell.it/vincent/Post_2953.aspx
Sezione "Antirootkit".
http://technet.microsoft.com/it-it/library/cc645560.aspx
"Spyware e Malware: chi ci spia?"
Segui attentamente l'editoriale.


 Che faccio?
Il vero file si trova solo nella cartella "drivers".
In altre posizioni è un malware.
-- 
_-=SiMcarD=-_ ®
->ICQ: 59-575-403<-
"Dio è ateo: non crede in me."