Attenti a quei due!

wgator · 22-03-2006, 09:19

Ciao,

ieri è stata una giornata un po' campale: ho trovato in due pc appartenenti a persone diverse (miei colleghi) un trojan residente in "system32" non ancora riconosciuto da molti antivirus, abbastanza difficile da togliere, presumibilmente beccato navigando in siti non a rischio, semplicemente, pare, facendo una ricerca con google:

- taskdir.exe
- taskdir.dll

Si sono accorti di avere qualcosa che non funzionava a causa di alcune schermate di errore.

Questa l'analisi di Virustotal:

AntiVir 6.34.0.14 03.22.2006 TR/Proxy.Lager.AQ.1
Avast 4.6.695.0 03.22.2006 no virus found
AVG 386 03.21.2006 Proxy.BRR
Avira 6.34.0.53 03.22.2006 TR/Proxy.Lager.AQ.1
BitDefender 7.2 03.22.2006 no virus found
CAT-QuickHeal 8.00 03.20.2006 no virus found
ClamAV devel-20060126 03.21.2006 no virus found
DrWeb 4.33 03.21.2006 Trojan.PWS.Alanchum
eTrust-InoculateIT 23.71.108 03.22.2006 no virus found
eTrust-Vet 12.4.2129 03.22.2006 no virus found
Ewido 3.5 03.21.2006 Proxy.Lager.aq
Fortinet 2.71.0.0 03.22.2006 W32/Lager.AQ!tr
F-Prot 3.16c 03.20.2006 no virus found
Ikarus 0.2.59.0 03.21.2006 Trojan-Proxy.Win32.Lager.AQ
Kaspersky 4.0.2.24 03.22.2006 Trojan-Proxy.Win32.Lager.aq
McAfee 4723 03.21.2006 no virus found
NOD32v2 1.1454 03.21.2006 no virus found
Norman 5.70.10 03.21.2006 no virus found
Panda 9.0.0.4 03.21.2006 Suspicious file
Sophos 4.03.0 03.22.2006 no virus found
Symantec 8.0 03.22.2006 no virus found
TheHacker 5.9.6.117 03.21.2006 no virus found
UNA 1.83 03.21.2006 TrojanProxy.Win32.Lager
VBA32 3.10.5 03.21.2006 Trojan.PWS.Alanchum

Se serve a qualcuno, l'ho messo da parte

P.S.

lanciando una ricerca (start -> cerca) e usando come termine taskdir.exe o taskdir.dll non viene trovato. Per trovarlo occorre scrivere solo "taskdir" senza estensione. Se c'è, saltano fuori sia l'eseguibile sia la libreria.
Aprendo "taskmanager" se c'è, risulta tra i processi attivi "taskdir.exe"
L'ho appena installato sul mio pc cavia e sto cercando di capire cosa fa esattamente

halduemilauno · 22-03-2006, 09:29

ottima info.
grazie.

wgator · 22-03-2006, 09:31

In questo momento, con le ultime firme disponibili il trojan non è riconosciuto neppure da Spybot nè da Spysweeper.

Kaspersky lo vede ma non è in grado di rimuoverlo, così come Ewido: lo segnala ma non lo toglie. Ora provo da modalità provvisoria

Norton 2006 lo ignora completamente

nV 25 · 22-03-2006, 09:42

sul mio Pc non c'è

.....

eraser · 22-03-2006, 09:52

wgator, se puoi spedirmeli oggi pomeriggio ci lavoro su (ora sono all'università)

juninho85 · 22-03-2006, 09:52

non vedo l'ora di tornare a casa

nV 25 · 22-03-2006, 09:53

Quote:

Originariamente inviato da eraser

...ora sono all'università...

aaaaaahhhhh, è cosi' che si seguono le lezioni, eh?

nV 25 · 22-03-2006, 09:55

Quote:

Originariamente inviato da juninho85

non vedo l'ora di tornare a casa

prenditela con calma, invece....tanto l'esito positivo è SCRITTO

eraser · 22-03-2006, 10:17

Quote:

Originariamente inviato da nV 25

aaaaaahhhhh, è cosi' che si seguono le lezioni, eh?

eeeehmmmmmmm

wgator · 22-03-2006, 10:17

Quote:

Originariamente inviato da nV 25

sul mio Pc non c'è

.....

Neppure sul mio c'era... ora però ce l'ho messo

Ho visto con "netstat -an" che apre una porta (varia, non è sempre quella) e tenta di contattare un server remoto

eraser · 22-03-2006, 10:19

Quote:

Originariamente inviato da wgator

Neppure sul mio c'era... ora però ce l'ho messo

Ho visto con "netstat -an" che apre una porta (varia, non è sempre quella) e tenta di contattare un server remoto

sarà un bot IRC

se hai msn aggiungimi

nV 25 · 22-03-2006, 10:27

facendo una ricerca rapidissima su Viruslist, questo Trojan, che risulta appartenere alla categoria TrojanProxy, è stato aggiunto nel database delle firme del Kav 3 giorni fà, il 19/3/06 ...

eraser · 22-03-2006, 10:32

dalle mie fonti è in giro almeno dal 25 febbraio

nV 25 · 22-03-2006, 11:43

e alle "fonti" dei vari Kaspersky Lab sparsi sul pianeta è arrivato dopo cosi' tanto tempo?

o non è proprio arrivato?? ( leggi Nod32,...)

Mi sa che devono rivedere i loro canali di approvvigionamento di sample, allora

Facci sapere qualcosa di +, cmq...

wgator · 22-03-2006, 11:46

Ciao,

ripercorrendo la cronologia di navigazione di uno dei computer che erano stati infettati ieri, mi sono ritrovato un tale "voblaizdupla.exe" riconosciuto come infetto solo da Kaspersky con il nome di "small.ciw"
Comincio a divertirmi

Eraser, ti mando anche quello

P.S.

purtroppo non ho MSN

tutmosi3 · 22-03-2006, 11:48

Hai anche qualche URL?
Ciao

wgator · 22-03-2006, 12:07

Quote:

Originariamente inviato da tutmosi3

Hai anche qualche URL?
Ciao

Sto ancora cercando di capire tra i vari siti che hanno visitato ieri quale potrebbe essere il colpevole... Sembrerebbero (apparentemente) tutti siti seri e puliti, cose di lavoro, poi hanno "gironzolato" su libero e hanno fatto qualche ricerca (legittima) con google...

Le prime schifezze le hanno sicuramente beccate ieri intorno alle 15/18.30

eraser · 22-03-2006, 12:55

Quote:

Originariamente inviato da wgator

Ciao,

ripercorrendo la cronologia di navigazione di uno dei computer che erano stati infettati ieri, mi sono ritrovato un tale "voblaizdupla.exe" riconosciuto come infetto solo da Kaspersky con il nome di "small.ciw"
Comincio a divertirmi

Eraser, ti mando anche quello

P.S.

purtroppo non ho MSN

non usi neanche icq?

cmq sono a casa, mi metto a lavoro

eraser · 22-03-2006, 13:15

il trojan downloader che mi hai mandato per ultimo è carino

Stev-O · 22-03-2006, 13:40

Quote:

Originariamente inviato da wgator

In questo momento, con le ultime firme disponibili il trojan non è riconosciuto neppure da Spybot nè da Spysweeper.

Kaspersky lo vede ma non è in grado di rimuoverlo, così come Ewido: lo segnala ma non lo toglie. Ora provo da modalità provvisoria

Norton 2006 lo ignora completamente

intanto ewido lo vede, alla faccia di spysweeper a pagamento (spybot non lo consideriamo neanche essendo un aranciata annacquata): hijack cosa dice in merito???