Trojan bast...o e velonosissimo. Help!!

[Commodore]

Allora abbiamo presso la stessa schifosissima cosa. Controlla in document e setting e troverai pure un account nascosto...disintegralo!... per eliminare il servizio maledetto puoi usare wsf.
P.S.
Penso sia utile riunire i post...mi sa si tratti della stessa "cosa"

[maxone78]

Rieccomi. Allora, innanzitutto grazie mille ragazzi, grazie ai vostri suggerimenti e al tool di Eraser (grazie per la disponibilità ), ho fatto fuori quell'exe bastardo e ora non ho più schifezze attive nel pc

Bugs, ho seguito pure la tua indicazione, tutto ok , thnx

L'unica cosa rimasta è appunto quell'account farlocco chiamato PEU che però, facendo riferimento all'exe sopracitato e eliminato, è morto. Infatti risulta arrestato e non rompe.

Tuttavia grazie a Commodore proverò a farlo sparire ugualmente. Una cosa. Cos'è wsf?

[Commodore]

Originariamente inviato da maxone78

Tuttavia grazie a Commodore proverò a farlo sparire ugualmente. Una cosa. Cos'è wsf?

WSF stà per Windows Service Finder, è una piccola utilià che lavora da shell di comando la puoi trovare QUI usa la seguente sintassi da prompt dei comadi: wsf.exe /ks=XXX (sostituisci XXX con il nome del servizio da eliminare)
Ciao!

[maxone78]

Azz, grazie!

[Commodore]

Originariamente inviato da maxone78

Azz, grazie!

De nada

[maxone78]

Sono "costretto" a ri-ringraziarti: questo tool è ottimo! Disintegrato l'ultimo residuo del bast..done

Ode al forum di HU e ai suoi preparati e disponibili frequentatori e Mod

[Commodore]

Figurati dovere ....ho qualche nuova...dal vecchio log di comodo risultano questi strani IP 195.225.176.85 195.225.177.145 e altri. Ho rifatto una ricerca whois che porta dritta dritta a questi siti:
NameServer: NS-PRI.RIPE.NET
NameServer: NS3.NIC.FR
NameServer: SUNIC.SUNET.SE
NameServer: NS-EXT.ISC.ORG
NameServer: SEC1.APNIC.NET
NameServer: SEC3.APNIC.NET
NameServer: TINNIE.ARIN.NET
Se si tenta il collegamento spunta un certificato (non valido) da scaricare....mi sa che è la chiave di volta....resta da capire come è entrato nel mio PC. Se qualcuno (leggi eraser ) avesse un pc da immolare mi sa che si svelerebbe l'arcano...

P.S.
Mi sa che non hai, come me del resto, disintegrato tutto. Se cerchi nel registro di sistema con regedit (non con jv16 che non trova niente) troverai alcune chiavi (si chiamano come il servizio) ancora presenti...se smanetti con autorizzazioni varie riesci a cancellare qualcosa...non tutto però

[eraser]

non ho problemi nell'analizzare sample ma non capisco di che certificato parli

il server probabilmente sotto inchiesta é questo 195.225.176.85 e sicuramente il sample é lí, solo che visto cosí potrebbe essere in qualunque posizione, sotto qualunque cartella con chissá quale nome.

Se eravate ancora infetti con uno sniffer sarebbe stato possibile analizzarne il percorso completo di connessione

Cosí sinceramente non c'é moltissimo da fare...rimango in attesa di qualche altro caso, i vostri sono stati risolti ma la questione non mi convince

[maxone78]

controllato con regedit, col nome di quel servizio non ho trovato nulla. può essere che abbia chiavi con altri nomi in proposito, boh?

pure io sarei curioso di capire come cavolo è entrato stò coso. faccio vari test mensili e il Pc mi risulta essere blindato. Mi sorge anche il dubbio che Spybot e Spywareblaster fungono poco

[Commodore]

Originariamente inviato da eraser

non ho problemi nell'analizzare sample ma non capisco di che certificato parli

il server probabilmente sotto inchiesta é questo 195.225.176.85 e sicuramente il sample é lí, solo che visto cosí potrebbe essere in qualunque posizione, sotto qualunque cartella con chissá quale nome.

Se eravate ancora infetti con uno sniffer sarebbe stato possibile analizzarne il percorso completo di connessione

Cosí sinceramente non c'é moltissimo da fare...rimango in attesa di qualche altro caso, i vostri sono stati risolti ma la questione non mi convince

Mi sa che ho detto una stupidata il certificato è quello relativo al servizio di reindirizzamento del sito whois...chiedo venia

X maxone
Il "mio" servizio si chiamava PVHsX ...dubito però che nel tuo registro ci sia qualcosa di simile

[tratto99]

Ciao ragazzi... come dicevo ho avuto anche io questa bestiolina nel mio PC... premetto che ci sono andato dietro da un po, anche perchè all'inizio non si trovava nulla su LinkOptimizer ( potete leggermi in questo forum )

Cmq... prima di riuscire ad eliminare i file presenti in c:\programmi\ (io li ho disintegrati con la knoppix 5.0 di linux non conoscevo il tool proposto da erase, grande programmino) ho notato che con passware EFS key e possibile decriptare il file ma purtroppo richiede una password...

Il Trojan abbiamo visto che crea un nuovo account utente... All'interno delle directory presenti in Documents and Settings\xxxxx\ si trovano i certificati per riuscire a decriptare il file EFS... o per creare un "agente di recupero"

le cartelle dove si trovano informazioni per il recupero sono:

\Application Data\Microsoft\SystemCertificates\My\Certificates
\Application Data\Microsoft\SystemCertificates\My\Keys
\Application Data\Microsoft\Crypto\RSA

Se qualcuno all'interno di questo forum ha gia fatto qualcosa del genere, faccia un passo avanti
in caso trovate informazioni qui -> Parte1 Parte2 (ringrazio Guia nell'altro forum per la collaborazione)

Purtroppo avendo cancellato i file crittografati non posso più fare esperimenti... inoltre volevo chiedervi un parere su una cosa...
Dato che il servizio di criptazione EFS si trova solo nella versione professional di XP ed è imparentato con il file system di una partizione NTFS... Secondo voi un attacco del genere davanti ad una partizione a Fat32 o ad un sistema operaivo diverso come anche XP Home, che tipo di infezione provocherebbe?
Perchè sto pensando in questi giorni grazie a LinkOptimizer di disattivare il servizio in XP di crittografia dei file...

Insomma in questo modo anche i virus potrebbero risiedere nel nostro HD passando invisibili alle scansioni dei nostri antivirus... Microsoft dovrebbe provvedere ad un aggiornamento immediato per evitare questo tipo di attacchi...

Ok... adesso sto spyware a proprio il scoperto...
Se riusciamo a sniffare la corretta locazione sul server... e ad aprire i file critografati... siamo a cavallo

Rivoglio il Trojan!!!

[eraser]

attualmente Prevx rimuove linkoptimizer.dll

[eraser]

ok, abbiamo intercettato un altro caso in forum stranieri
stiamo cercando di recuperare il sample

[Commodore]

Originariamente inviato da tratto99

Cmq... prima di riuscire ad eliminare i file presenti in c:\programmi\ (io li ho disintegrati con la knoppix 5.0 di linux non conoscevo il tool proposto da erase, grande programmino) ho notato che con passware EFS key e possibile decriptare il file ma purtroppo richiede una password...

Io con SUSE avviato da cd non sono riuscito cancellarlo...

[tratto99]

Originariamente inviato da Commodore

Io con SUSE avviato da cd non sono riuscito cancellarlo...

Non conosco Suse so che è una versione a pagamento e quindi penso riconosca in lettura/scrittura anche lei le partizioni NTFS.

In Knoppik 5.0 mi sono mosso cosi... (la 4.0 non me lo permetteva)
Avviato da CD... tasto destro su HD... ho abilitato in scrittura l'HD... c:\programmi\xxxxxx.exe tasto destro su file elimina, che corrisponde a shift+canc...

[Commodore]

Fortunatamente sono riuscito a cancellare il maledetto (non so ancora come) da xp
hola!

[tratto99]

Originariamente inviato da Commodore

Fortunatamente sono riuscito a cancellare il maledetto (non so ancora come) da xp
hola!

Se sei riuscito a cancellare un file con crittazione da XP probabilmente potevi anche aprirlo... guarda se lo tieni nel cestino mi sembra strano

[Commodore]

Originariamente inviato da tratto99

Se sei riuscito a cancellare un file con crittazione da XP probabilmente potevi anche aprirlo... guarda se lo tieni nel cestino mi sembra strano

No no il cestino l'ho svuotato, poi con ontrack ho tentato di recuperare il file...più nessuna traccia. Sono riuscito a cancellare il file con xp che stava ancora caricando...ripeto non ho idea come. La cosa strana che non capisco è che potevo, dopo aver penato per cambiargli gli attributi, rinominare il file, ma non cancellarlo, spostarlo copiarlo....

[tratto99]

@Commodore

Mi controlli se hai ancora la chiave:
O2 - BHO: (no name) - {DA39029C-D291-A968-3FF4-D0990D5CB5FC} - (no file)

su un PC su cui sto facendo assistenza è l'unica cosa che rimane... e non capisco perche si rigenera anche dopo averla cancellata da ragedit...

[maxone78]

Originariamente inviato da Commodore

X maxone
Il "mio" servizio si chiamava PVHsX ...dubito però che nel tuo registro ci sia qualcosa di simile

si, scusa, sono stato poco chiaro io: mi riferivo al servizio che avevo io, quello chiamato PEU