spyware / dialer ?

**kidmarco** · 28-09-2007, 02:35

oggi, improvvisamente mentre navigavo (tutti siti affidabili) mi son ritrovato con la connessione analogica disconnessa e
ho notato una seconda connessione di accesso remoto (genericamente denominata "Internet connection" al numero "000")
ho visto che era implicato un processo in background chiamato "1190916649.dat.exe" mai visto prima...

Entrambi li ho rimossi.

Ma, controllando, ho trovato uno strano file nella cartella TEMP chiamato "abc123.pid" che analizzato con l'anti-spyware è risulato nfetto.
Ho rimosso il file e tutti le chiavi correlate....ma ad ogni avvio si ricrea sempre nella cartella TEMP !!!
come faccio ad eliminarlo definitivamente ?

**kidmarco** · 28-09-2007, 03:19

questo file "abc123.pid" che si ricrea ad ogni avvio credo origini un processo chiamato IEXPLORE.EXE che resta attivo anche quando chiudo il browser

infatti, quando il vero Internet Explorer è aperto il TaskManager mostra 2 processi IEXPLORE.EXE !

anche se cancello il file abc123.pid, trovo cmq sempre 2 processi IEXPLORE.EXE
...non so che fare

**ste_95** · 28-09-2007, 07:11

scarica hijackthis, il link lo trovi nella mia firma, vai su do a system scan and save a logfile, e poi metti qui il contenuto del blocco note che verrà fuori..

**kidmarco** · 28-09-2007, 18:17

stasera lo faccio (intanto grazie x l'aiuto che mi offri)

quale versione devo preferire qui ?

**tecnico24** · 28-09-2007, 18:19

la versione 2.0.2 e la scarichi direttamente da qui:
http://www.trendsecure.com/portal/en...HiJackThis.zip

**tecnico24** · 28-09-2007, 18:20

Originariamente inviato da tecnico24
la versione 2.0.2 e la scarichi direttamente da qui:
http://www.trendsecure.com/portal/en...HiJackThis.zip

estrai e avvia hijackthis.exe
poi vai su do a system scan and savelogfile,posta qui il contenuto del blocco note.

**kidmarco** · 29-09-2007, 00:48

anzitutto, volevo fornirti un altro dato:
ho voluto analizzzare con Process Explorer i dettagli dei processi attivi, in particollare lo sdoppiamento del processo IEXPLORE.EXE
Non sono pratico nemmeno di ProcessExplorer, ma ho notato almeno 2 dettagli aprendo le Proprietà dei due processi omonimi:

codice:

- IEXPLORE.EXE autentico (Properties > Image):
  Path:             C:\Program Files\Internet Explorer\IEXPLORE.EXE
  Command Line:     "C:\Program Files\Internet Explorer\IEXPLORE.EXE"   
  Parent:           explorer.exe(2948)

- IEXPLORE.EXE fasullo:
  Path:             c:\program files\internet explorer\iexplore.exe
  Command Line:     http://b.whataboutadog.com/123/checkin.php?cid=34340978&aid=10258&time=C:\DOCUME~1\miocomputer\LOCALS~1\Temp\\1191002468.dat&fw=2112&v=123&m=0&vm=0 
  Parent:           CeEKey.exe(3108)

Quest'ultimo "CeEKey.exe" è realtivo a "C:\Program Files\TOSHIBA\E-KEY\bak\CeEKey.exe"
...per il resto, dll e chiavi registro connesse a tali processi, non ci capisco molto.

Ecco, poi, il log di HijackThis...però devo dirti che, lanciando "Do system scan and save log file", ho ricevuto un messaggio:

For some reason your system denied write access to the Hosts file. If any hijacked domains are in this file, HijackThis may not be able to fix this.
If that happens, you need to edit the file yuorself. To do this, click Start, Run and type:
notepad C:\WINDOWS\System32\drivers\etc\hosts
and press Enter. Find the line(s) HijackThis reports and delete them. Save the file as "hosts." (with quotes), and reboot.

For VISTA: simply exit HijackThis, right-click on the HijackThis icon, choose "Run as an Administrator"

a parte questo avviso, che non ho ben capito, ti copio il log che ho ottenuto (ho cancellato l'indirizzo della rete aziendale):

codice:

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 23.31.21, on 28/09/2007
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)
Boot mode: Normal

Running processes:
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\AGRSMMSG.exe
C:\WINDOWS\System32\TCtrlIOHook.exe
C:\Program Files\CheckPoint\SecuRemote\bin\SR_GUI.exe
C:\Program Files\TOSHIBA\TOSHIBA Controls\TFncKy.exe
C:\Program Files\TOSHIBA\E-KEY\CeEKey.exe
C:\Program Files\TOSHIBA\E-KEY\bak\CeEKey.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Program Files\Messenger\msmsgs.exe
C:\WINDOWS\System32\ctfmon.exe
C:\WINDOWS\system32\NOTEPAD.EXE
C:\Program Files\Internet Explorer\IEXPLORE.EXE
c:\program files\internet explorer\iexplore.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.it
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: DriveLetterAccess - {5CA3D70E-1895-11CF-8E15-001234567890} - C:\WINDOWS\system32\dla\tfswshx.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [AGRSMMSG] AGRSMMSG.exe
O4 - HKLM\..\Run: [ATIPTA] C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [dla] C:\WINDOWS\system32\dla\tfswctrl.exe
O4 - HKLM\..\Run: [TCtryIOHook] TCtrlIOHook.exe
O4 - HKLM\..\Run: [TFncKy] TFncKy.exe
O4 - HKLM\..\Run: [CeEKEY] C:\Program Files\TOSHIBA\E-KEY\CeEKey.exe
O4 - HKLM\..\Run: [PestPatrol Control Center] C:\Program Files\PestPatrol\PPControl.exe
O4 - HKLM\..\Run: [Realtime Monitor] C:\PROGRA~1\CA\ETRUST~1\realmon.exe -s
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [DrvMon.exe] C:\WINDOWS\System32\DrvMon.exe
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE
O4 - Global Startup: PC Health.lnk = C:\Program Files\TOSHIBA\TOSHIBA Management Console\TOSHealthLocalS.vbs
O8 - Extra context menu item: E&xport to Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE
O15 - Trusted Zone: http://rete.[rete aziendale].it
O15 - Trusted Zone: *.whataboutadog.com
O15 - Trusted Zone: *.whataboutarabit.com
O15 - Trusted Zone: http://rete.[rete aziendale].it (HKLM)

PS:
controllando, ho trovato molti files di sistema doppi (uno nella relativa cartella, e il doppione in una sottocartella BAK...e spesso hanno dimensioni diverse anche se identica data di creazione) ???

**ste_95** · 29-09-2007, 07:15

sei infetto da instant access...

sarica findafw fallo girare e poi posta il log...

**kidmarco** · 29-09-2007, 16:13

E' un' infezione seria? si può debellare?
ecco il log di "FindAWF":

codice:

  Find AWF report by noahdfear ©2006
               Version 1.40



  bak folders found
  ~~~~~~~~~~~

 Il volume nell'unit… C non ha etichetta.
 Numero di serie del volume: 3CA2-AE43

 Directory di C:\PROGRA~1\MESSEN~1\BAK

               0 File              0 byte
               2 Directory   3.495.792.640 byte disponibili
 Il volume nell'unit… C non ha etichetta.
 Numero di serie del volume: 3CA2-AE43

 Directory di C:\PROGRA~1\PESTPA~1\BAK

27/03/2003  05.41            53.248 PPControl.exe
               1 File         53.248 byte
               2 Directory   3.495.792.640 byte disponibili
 Il volume nell'unit… C non ha etichetta.
 Numero di serie del volume: 3CA2-AE43

 Directory di C:\WINDOWS\SYSTEM32\BAK

10/09/2004  04.16            53.248 DrvMon.exe
               1 File         53.248 byte
               2 Directory   3.495.788.544 byte disponibili
 Il volume nell'unit… C non ha etichetta.
 Numero di serie del volume: 3CA2-AE43

 Directory di C:\PROGRA~1\ATITEC~1\ATICON~1\BAK

23/03/2005  07.05           339.968 atiptaxx.exe
               1 File        339.968 byte
               2 Directory   3.495.788.544 byte disponibili
 Il volume nell'unit… C non ha etichetta.
 Numero di serie del volume: 3CA2-AE43

 Directory di C:\PROGRA~1\CA\ETRUST~1\BAK

06/04/2004  18.14           504.080 realmon.exe
               1 File        504.080 byte
               2 Directory   3.495.788.544 byte disponibili
 Il volume nell'unit… C non ha etichetta.
 Numero di serie del volume: 3CA2-AE43

 Directory di C:\PROGRA~1\TOSHIBA\E-KEY\BAK

11/05/2005  00.13           675.840 CeEKey.exe
               1 File        675.840 byte
               2 Directory   3.495.788.544 byte disponibili
 Il volume nell'unit… C non ha etichetta.
 Numero di serie del volume: 3CA2-AE43

 Directory di C:\WINDOWS\SYSTEM32\DLA\BAK

14/01/2005  11.05           122.939 tfswctrl.exe
               1 File        122.939 byte
               2 Directory   3.495.788.544 byte disponibili
 Il volume nell'unit… C non ha etichetta.
 Numero di serie del volume: 3CA2-AE43

 Directory di C:\PROGRA~1\COMMON~1\REAL\UPDATE~1\BAK

29/01/2007  03.33           185.896 realsched.exe
               1 File        185.896 byte
               2 Directory   3.495.788.544 byte disponibili


  Duplicate files of bak directory contents
  ~~~~~~~~~~~~~~~~~~~~~~~

     24592 19 Sep 2007 "C:\Program Files\PestPatrol\PPControl.exe"
     53248 27 Mar 2003 "C:\Program Files\PestPatrol\bak\PPControl.exe"
     24592 19 Sep 2007 "C:\WINDOWS\system32\DrvMon.exe"
     53248 10 Sep 2004 "C:\WINDOWS\system32\bak\DrvMon.exe"
     24592 19 Sep 2007 "C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe"
    339968 23 Mar 2005 "C:\Program Files\ATI Technologies\ATI Control Panel\bak\atiptaxx.exe"
     24592 19 Sep 2007 "C:\Program Files\CA\eTrust Antivirus\realmon.exe"
     40960 15 Mar 2007 "C:\WINDOWS\Installer\{99747F0D-D4F8-4877-9CA0-4AE96D963633}\Realmon.exe"
    504080  6 Apr 2004 "C:\Program Files\CA\eTrust Antivirus\bak\realmon.exe"
     24592 19 Sep 2007 "C:\Program Files\TOSHIBA\E-KEY\CeEKey.exe"
    675840 11 May 2005 "C:\Program Files\TOSHIBA\E-KEY\bak\CeEKey.exe"
     24592 19 Sep 2007 "C:\WINDOWS\system32\dla\tfswctrl.exe"
    122939 14 Jan 2005 "C:\Program Files\Sonic\DLA\install\tfswctrl.exe"
    122939 14 Jan 2005 "C:\WINDOWS\system32\dla\bak\tfswctrl.exe"
    185896 29 Jan 2007 "C:\Program Files\Common Files\Real\Update_OB\bak\realsched.exe"


  end of report

Poi, controllando manualmente i singoli doppioni, ho notato che i duplicati contenuti nelle sottocartelle BAK delle applicazioni di sistema hanno un'icona che sembra originale, mentre i files omonimi contenuti nelle cartelle di sistema hanno l'icona generica degli eseguibili...
dunque, i files puliti-originali sarebbero quelli nelle sottocartelle BAK ?

Infine, se questi ultimi sono i duplicati infetti, dov'è la "radice" del virus ?
è il file abc123.pid (che si ricrea ad ogni avvio nella cartella TEMP) ?

ti ringrazio molto x il fondamentale aiuto...

**tecnico24** · 29-09-2007, 16:26

scarica avenger http://swandog46.geekstogo.com/avenger.zip
cliccate su Input script manually poi Clicca sulla lente di ingrandimento, si apre la finestra View/edit script all'interno del box bianco, copia e incolla lo script da eseguire:

files to move:
C:\Program Files\PestPatrol\bak\PPControl.exe | C:\Program Files\PestPatrol\PPControl.exe
C:\WINDOWS\system32\bak\DrvMon.exe | C:\WINDOWS\system32\DrvMon.exe
C:\Program Files\ATI Technologies\ATI Control Panel\bak\atiptaxx.exe | C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\Program Files\CA\eTrust Antivirus\bak\realmon.exe | C:\Program Files\CA\eTrust Antivirus\realmon.exe
C:\Program Files\TOSHIBA\E-KEY\bak\CeEKey.exe | C:\Program Files\TOSHIBA\E-KEY\CeEKey.exe
C:\WINDOWS\system32\dla\bak\tfswctrl.exe | C:\WINDOWS\system32\dla\tfswctrl.exe

clicca su Done,poi sul semaforo con luce verde.,due volte si,riavvia il pc e posta il log di avenger che lo trovi in c:/avenger.txt
dovresti aver risolto,fammi sapere.

Discussione: spyware / dialer ?

Strumenti discussione

Ricerca discussione

Visualizza

spyware / dialer ?

Permessi di invio