risatine che escono dagli altoparlanti: malware?

[gattil]

Quando si dice la combinazione!
lo ha rifatto poco fa ma in modo un po' diverso.
Prima una serie di bip come un grillo notturno.... e poi la risatina.
Non era mai successo che cambiasse modalità!
Comincio a pensare che sia stato diffuso molto poco in giro e che gli antimalware ancora non lo conoscono o più probabilmente riesce a mutare nel tempo.
Da una ricerca in rete ne ho sentito parlare a questo link: http://forum.wintricks.it/showthread...78#post1572478 dove ho anche postato il quesito ma senza ricevere risposta.
Ho provato anche con un antivirusonline di hardware upgrade si chiama PrevxCSI ma (incredibile) mi ha bloccato totalmente il pc tanto che ho dovuto staccargli il cavo di alimentazione per spegnerlo!
Comincio a temere che devo ricaricare tutto di nuovo.

[Deifobe]

CompanyName..HiddenSoft..<..FileDescription..AutoI tDLL
FileVersion..1, 11, 0, 0.4.
InternalName.AutoItDLL
LegalCopyright.Copyright ©2002 Jonathan Bennett..
OriginalFilename.AutoItDLL.dll.

il sito e le info sono quelle di autoit.. ma il file io non l'ho (potrebbe anche appartenere a qualche vecchia versione del programma..)

non so nemmeno con quale applicazione potresti averlo scaricato..

comunque, vediamo cosa cambia togliendolo..


edit: come non detto

[Deifobe]

ok....

hai scaricato youripper (per youtube)?
e, se si, ricordi se i problemi sono cominciati da lì?

poi, c'è un altro file di cui non trovo nulla.. visto il nome...

C:\WINDOWS\FileName
puoi zipparlo e inviarmelo come hai fatto con l'altro? (ricorda... con un messaggio privato ..)
poi elimina l'archivio ma non il file (lascialo dove sta)

Esegui CCleaner e ripulisci i file temporanei e i cookie (eseguilo 2 volte)

poi scarica e installa avira_antivir_personal (devi disinstallare il tuo antivirus)

settalo con questa guida-settaggio-avira-antivir

nel pannello di controllo (se la guida non lo indica) clicca su
=> configuration
=> general
metti la spunta a select all
=> ok, chiudi
esegui una scansione e posta il rapporto


ricordati di rispondermi su youripper

[gattil]

Chiedo scusa per il ritardo della risposta dovuto al fatto che credevo di aver individuato il veicolo del malware.
Domenica ho notato che si metteva in attività quando Real player era in funzione per cui ho eliminato tanto Real che VLC media player e scaricato e ricaricato i due player ma stamattina, mentre ascoltavo la mia compilation preferita (brani di Buddha Bar e Cafè del Mar, non c'entra nulla ma sono così belli....) l'ha rifatto il maledetto.
Son comunque convinto che si attivi tramite real p. perchè sono riuscito a chiuderlo mentre si sentiva la risatina e la stessa è cessata.
Quanto a youripper l'ho effettivamente scaricato e usato ma alcuni mesi prima che mi beccassi il malware.
Quanto prima farò quello che mi suggerisci nel tuo post ma non mi è chiaro cosa significa eliminare l'archivio ma non il file, io intendo che dopo che ho copiato sul desktop e zippato il file mi conviene cancellarlo dal desktop ma non dalla posizione originale. E' così?
Intanto sto provando ad ascoltare musica per qualche ora con VLC e vedere cosa succede.

[Gas75]

Originariamente inviato da gattil
non mi è chiaro cosa significa eliminare l'archivio ma non il file, io intendo che dopo che ho copiato sul desktop e zippato il file mi conviene cancellarlo dal desktop ma non dalla posizione originale. E' così?

Esatto.

[Deifobe]

nel file c'è scritto solo:

[Sezione]
Tasto=Value

è di sabato 20 dicembre 2008, 12.49.16

mah
servirà per qualche applicazione

hai provato a installare avira?

[gattil]

Fatto tutto.
Ma temo senza risultati come puoi vedere dal report:


Avira AntiVir Personal
Report file date: lunedì 12 gennaio 2009 22:08

Scanning for 1189198 virus strains and unwanted programs.

Licensed to: Avira AntiVir PersonalEdition Classic
Serial number: 0000149996-ADJIE-0001
Platform: Windows XP
Windows version: (Service Pack 2) [5.1.2600]
Boot mode: Normally booted
Username: SYSTEM
Computer name: EROS

Version information:
BUILD.DAT : 8.2.0.337 16934 Bytes 18/11/2008 13:05:00
AVSCAN.EXE : 8.1.4.10 315649 Bytes 18/11/2008 08:21:26
AVSCAN.DLL : 8.1.4.0 40705 Bytes 26/05/2008 07:56:40
LUKE.DLL : 8.1.4.5 164097 Bytes 12/06/2008 12:44:19
LUKERES.DLL : 8.1.4.0 12033 Bytes 26/05/2008 07:58:52
ANTIVIR0.VDF : 7.1.0.0 15603712 Bytes 27/10/2008 11:30:36
ANTIVIR1.VDF : 7.1.1.33 1705984 Bytes 24/12/2008 21:06:35
ANTIVIR2.VDF : 7.1.1.88 726528 Bytes 08/01/2009 21:06:43
ANTIVIR3.VDF : 7.1.1.104 222208 Bytes 12/01/2009 21:06:46
Engineversion : 8.2.0.54
AEVDF.DLL : 8.1.0.6 102772 Bytes 14/10/2008 10:05:56
AESCRIPT.DLL : 8.1.1.24 340348 Bytes 12/01/2009 21:07:05
AESCN.DLL : 8.1.1.5 123251 Bytes 07/11/2008 15:06:41
AERDL.DLL : 8.1.1.3 438645 Bytes 04/11/2008 13:58:38
AEPACK.DLL : 8.1.3.5 393588 Bytes 12/01/2009 21:07:03
AEOFFICE.DLL : 8.1.0.33 196987 Bytes 12/01/2009 21:07:00
AEHEUR.DLL : 8.1.0.78 1532280 Bytes 12/01/2009 21:06:58
AEHELP.DLL : 8.1.2.0 119159 Bytes 12/01/2009 21:06:50
AEGEN.DLL : 8.1.1.8 323956 Bytes 12/01/2009 21:06:49
AEEMU.DLL : 8.1.0.9 393588 Bytes 14/10/2008 10:05:56
AECORE.DLL : 8.1.5.2 172405 Bytes 12/01/2009 21:06:47
AEBB.DLL : 8.1.0.3 53618 Bytes 14/10/2008 10:05:56
AVWINLL.DLL : 1.0.0.12 15105 Bytes 09/07/2008 08:40:05
AVPREF.DLL : 8.0.2.0 38657 Bytes 16/05/2008 09:28:01
AVREP.DLL : 8.0.0.2 98344 Bytes 31/07/2008 12:02:15
AVREG.DLL : 8.0.0.1 33537 Bytes 09/05/2008 11:26:40
AVARKT.DLL : 1.0.0.23 307457 Bytes 12/02/2008 08:29:23
AVEVTLOG.DLL : 8.0.0.16 119041 Bytes 12/06/2008 12:27:49
SQLITE3.DLL : 3.3.17.1 339968 Bytes 22/01/2008 17:28:02
SMTPLIB.DLL : 1.2.0.23 28929 Bytes 12/06/2008 12:49:40
NETNT.DLL : 8.0.0.1 7937 Bytes 25/01/2008 12:05:10
RCIMAGE.DLL : 8.0.0.51 2371841 Bytes 12/06/2008 13:48:07
RCTEXT.DLL : 8.0.52.0 86273 Bytes 27/06/2008 13:34:37

Configuration settings for the scan:
Jobname..........................: Complete system scan
Configuration file...............: c:\programmi\avira\antivir personaledition classic\sysscan.avp
Logging..........................: low
Primary action...................: interactive
Secondary action.................: ignore
Scan master boot sector..........: on
Scan boot sector.................: on
Boot sectors.....................: C:, D:, E:,
Process scan.....................: on
Scan registry....................: on
Search for rootkits..............: on
Scan all files...................: All files
Scan archives....................: on
Recursion depth..................: 20
Smart extensions.................: on
Deviating archive types..........: +BSD Mailbox, +Netscape/Mozilla Mailbox, +Eudora Mailbox, +Squid cache, +Pegasus Mailbox, +MS Outlook Mailbox,
Macro heuristic..................: on
File heuristic...................: medium
Deviating risk categories........: +APPL,+GAME,+JOKE,+PCK,+SPR,

Start of the scan: lunedì 12 gennaio 2009 22:08

Starting search for hidden objects.
'62034' objects were checked, '0' hidden objects were found.

The scan of running processes will be started
Scan process 'spider.exe' - '1' Module(s) have been scanned
Scan process 'avscan.exe' - '1' Module(s) have been scanned
Scan process 'avcenter.exe' - '1' Module(s) have been scanned
Scan process 'avgnt.exe' - '1' Module(s) have been scanned
Scan process 'avguard.exe' - '1' Module(s) have been scanned
Scan process 'sched.exe' - '1' Module(s) have been scanned
Scan process 'firefox.exe' - '1' Module(s) have been scanned
Scan process 'svchost.exe' - '1' Module(s) have been scanned
Scan process 'alg.exe' - '1' Module(s) have been scanned
Scan process 'ctfmon.exe' - '1' Module(s) have been scanned
Scan process 'realsched.exe' - '1' Module(s) have been scanned
Scan process 'jusched.exe' - '1' Module(s) have been scanned
Scan process 'zlclient.exe' - '0' Module(s) have been scanned
Scan process 'rundll32.exe' - '1' Module(s) have been scanned
Scan process 'Apache.exe' - '1' Module(s) have been scanned
Scan process 'wscntfy.exe' - '1' Module(s) have been scanned
Scan process 'nSvcIp.exe' - '1' Module(s) have been scanned
Scan process 'nSvcLog.exe' - '1' Module(s) have been scanned
Scan process 'jqs.exe' - '1' Module(s) have been scanned
Scan process 'Apache.exe' - '1' Module(s) have been scanned
Scan process 'spoolsv.exe' - '1' Module(s) have been scanned
Scan process 'aawservice.exe' - '1' Module(s) have been scanned
Scan process 'vsmon.exe' - '0' Module(s) have been scanned
Scan process 'explorer.exe' - '1' Module(s) have been scanned
Scan process 'svchost.exe' - '1' Module(s) have been scanned
Scan process 'svchost.exe' - '1' Module(s) have been scanned
Scan process 'svchost.exe' - '1' Module(s) have been scanned
Scan process 'svchost.exe' - '1' Module(s) have been scanned
Scan process 'svchost.exe' - '1' Module(s) have been scanned
Scan process 'lsass.exe' - '1' Module(s) have been scanned
Scan process 'services.exe' - '1' Module(s) have been scanned
Scan process 'winlogon.exe' - '1' Module(s) have been scanned
Scan process 'csrss.exe' - '1' Module(s) have been scanned
Scan process 'smss.exe' - '1' Module(s) have been scanned
32 processes with 32 modules were scanned

Starting master boot sector scan:
Master boot sector HD0
[INFO] No virus was found!
Master boot sector HD1
[INFO] No virus was found!

Start scanning boot sectors:
Boot sector 'C:\'
[INFO] No virus was found!
Boot sector 'D:\'
[INFO] No virus was found!
Boot sector 'E:\'
[INFO] No virus was found!

Starting to scan the registry.
The registry was scanned ( '45' files ).


Starting the file scan:

Begin scan in 'C:\'
C:\pagefile.sys
[WARNING] The file could not be opened!
Begin scan in 'D:\'
Begin scan in 'E:\' <sistema>


End of the scan: lunedì 12 gennaio 2009 23:09
Used time: 1:00:56 Hour(s)

The scan has been done completely.

12087 Scanning directories
467734 Files were scanned
0 viruses and/or unwanted programs were found
0 Files were classified as suspicious:
0 files were deleted
0 files were repaired
0 files were moved to quarantine
0 files were renamed
1 Files cannot be scanned
467733 Files not concerned
10085 Archives were scanned
1 Warnings
0 Notes
62034 Objects were scanned with rootkit scan
0 Hidden objects were found



Intanto sono ore che ascolto musica con VLC player senza sentire il malware.
Continuerò a provare ancora per un giorno per essere certo ma ormai mi sembra lampante che è qualcosa che si attiva quando funzione Real player.

[Deifobe]

ok ma lascialo con antivirus perchè è buono...

purtroppo eccetto che eseguire 1000 scansioni, posso solo guardare systemscan e non avevo visto null'altro, eccetto che diversi file creati il 20 dicembre... ma credo siano dovuti a qualche installazione (come il file filename)

[Gas75]

Scusate l'intromissione, forse seguendo il discorso da "esterno" la vedo troppo semplice...
Per produrre un suono, occorre un programma che lo abbia incorporato (tipo un file realizzato in Flash), oppure che prenda questo suono (un file .wav, o altro) e lo esegua...
Alla luce di questo, non si può vedere che programmi sono in esecuzione, con Process Explorer (un Task Manager "evoluto"), e quando il suono si presenta vedere che processo usa la CPU, e quindi poter agire in maniera più mirata?

Qui http://www.hwupgrade.it/forum/showthread.php?t=1184464 intanto ho trovato che si tratterebbe di un banner sonoro (presumo un swf, quindi, anche se un tempo su ForumFree girava un banner .exe che puntualmente Firefox bloccava...), rimovibile con un programma che si chiama Ewido... Vedi tu se può tornarti utile...

[gattil]

Gas grazie per il suggerimento che metterò in pratica appena completo i test per vedere che relazione esiste fra Real player e il malware.

Ho chiamato l'assistenza Real italiana che non ha mai avuto segnalazioni del genere ma mi ha suggerito di deselezionare da strumenti-preferenze tutte le opzioni sui messaggi automatici di Real player ma il malware è ricomparso di nuovo e la cosa assurda è che si sente tanto se il player è in funzione (quindi si sovrappone al brano che è in esecuzione al momento) quanto se è fermo ma presente nella barra dei comandi.

Se lancio invece VLC player va tutto bene sia che funzioni o che sia solo presente nella barra comandi. Per ora sto continuando la prova per un tempo consistente.