PDA

View Full Version : Mi dite cos'è questo?

Lord Darth Smagni
26-08-2005, 10:28
Qualcuno mi sa dire a cosa si riferisce questo avviso di sygate?

File Version : 5.1.2600.2180
File Description : Generic Host Process for Win32 Services (svchost.exe)
File Path : C:\WINDOWS\system32\svchost.exe
Process ID : 0x404 (Heximal) 1028 (Decimal)

Connection origin : local initiated
Protocol : UDP
Local Address : 192.168.1.2
Local Port : 1061
Remote Name :
Remote Address : 239.255.255.250
Remote Port : 1900 (SSDP - Simple Service Discovery Protocol)

... e questo

File Version : 5.1.2600.2180
File Description : Generic Host Process for Win32 Services (svchost.exe)
File Path : C:\WINDOWS\system32\svchost.exe
Process ID : 0x490 (Heximal) 1168 (Decimal)

Connection origin : remote initiated
Protocol : UDP
Local Address : 151.44.17.78
Local Port : 1027
Remote Name :
Remote Address : 220.168.156.70
Remote Port : 37807
BravoGT83
26-08-2005, 10:44
penso che il svchost.exe sia connesso sui server di windows...

fai il backtrace di quello IP
Lord Darth Smagni
26-08-2005, 11:08
backtrace? se è la localizzazione, l'ho già fatta, e me lo localizza in Cina!
BravoGT83
26-08-2005, 11:28
backtrace? se è la localizzazione, l'ho già fatta, e me lo localizza in Cina!
si quella....

se vuoi lo blocchi cosi sicuramente non si connette da nessuna parte
Lord Darth Smagni
26-08-2005, 11:36
si quella....

se vuoi lo blocchi cosi sicuramente non si connette da nessuna parte

si, beh, l'avevo già bloccato, come del resto faccio sempre in caso di dubbio.
però mi interesserebbe capire la derivazione di sta cosa.
BravoGT83
26-08-2005, 11:42
Description:
svchost.exe is a system process belonging to the Microsoft Windows Operating System which handles processes executed from DLLs. This program is important for the stable and secure running of your computer and should not be terminated.
Lord Darth Smagni
26-08-2005, 11:59
Description:
svchost.exe is a system process belonging to the Microsoft Windows Operating System which handles processes executed from DLLs. This program is important for the stable and secure running of your computer and should not be terminated.
si, ok... ma perchè avvia queste connessioni?
non è che qualche malware lo possa utilizzare?
BravoGT83
26-08-2005, 12:02
si, ok... ma perchè avvia queste connessioni?
non è che qualche malware lo possa utilizzare?
si puo essere infetto...

finche quel file è nella cartella system32 non ti devi preoccupare...
Lord Darth Smagni
26-08-2005, 17:56
si puo essere infetto...

finche quel file è nella cartella system32 non ti devi preoccupare...
cosa vuol dire?
che se è infetto non è + in quella cartella?
BravoGT83
26-08-2005, 18:13
cosa vuol dire?
che se è infetto non è + in quella cartella?

esatto ce un altro file molte delle volte nella cartella windows... :)
Bugs Bunny
26-08-2005, 20:32
o system... :D
Bugs Bunny
26-08-2005, 20:32
o system...(dentro windows) :D
juninho85
26-08-2005, 20:59
utilizzi sygate?
71104
26-08-2005, 21:45
esatto ce un altro file molte delle volte nella cartella windows... :) none, il fatto che un programma sia "infetto" significa tutt'altra cosa: un programma infetto è un programma fisicamente modificato da un virus. il tipo di infezione più comune è la modifica della IAT (Import Address Table) con l'aggiunta di voci che linkano il programma target all'immagine del virus (generalmente il target è un processo di sistema, come appunto svchost.exe o explorer.exe).
se esiste un altro programma con lo stesso nome in un'altra directory allora è un altro discorso: anche io posso fare una copia di notepad.exe in C:\Windows e chiamarla svchost.exe, ma di certo così non ho infettato l'originale...
BravoGT83
27-08-2005, 09:18
none, il fatto che un programma sia "infetto" significa tutt'altra cosa: un programma infetto è un programma fisicamente modificato da un virus. il tipo di infezione più comune è la modifica della IAT (Import Address Table) con l'aggiunta di voci che linkano il programma target all'immagine del virus (generalmente il target è un processo di sistema, come appunto svchost.exe o explorer.exe).
se esiste un altro programma con lo stesso nome in un'altra directory allora è un altro discorso: anche io posso fare una copia di notepad.exe in C:\Windows e chiamarla svchost.exe, ma di certo così non ho infettato l'originale...
si hai perfettamente ragione mi ero spiegato malissimo prima...

almeno fino ad adesso non l'ho mai trovato infetto...ma solo una "copia" in un altra cartella