PDA

View Full Version : pagina sospetta...me la controllate?

Bambų
15-08-2006, 12:43
ho clikkato per errore su questo link

[link editato]

al posto che su quello superiore...
č partita questa pagina che mi richiedeva l'installazione di activeX da sito XXXX (non ricordo il nome...) io ho naturalmente rifiutato... senza fare nulla altro , anzi tentando di chiudere la pagina terminando il processo!
Explorer si č perō chiuso e l'hard disk ha lavorato molto per qualche secondo...

A questo punto ho lanciato tutto ciō che ho a disposizione:
AVG scansione completa;
strumento rimozione malware Microsoft (agosto);
Ad-Aware free;

Naturalmente tutti all'ultimo aggiornamento possibile!
Nessuno a trovato niente....ma ho notato una cosa strana:il ripristino di windows risultava disabilitato...
L'ultima cosa che ho fatto č stato l'aggiornamento di windows
consigliato a questa pagina
http://www.hwupgrade.it/articoli/software/1546/windows-un-bug-ad-alto-rischio-worm_index.html
proprio da hwupgrade!

Cosa mi consigliate di fare?
Grazie a tutti in anticipo!
manganese
15-08-2006, 13:23
se il sito presenta veramente un activeX maligno edita il link in modo che nessuno possa per sbaglio andarci sopra (invece di http scrivi hxxp)
eraser
15-08-2006, 13:27
Si č un ActiveX maligno, hai fatto bene a rifiutare

Hai Internet Explorer 6? Windows aggiornato con tutte le patch? Service Pack 2?

In tal caso č un exploit ma se sei tutto aggiornato non c'č problema, esclusivamente un ingigantimento del file di paging, basta che riavvii.
manganese
15-08-2006, 13:27
Fai un log con HJT e postalo nel 3d in evidenza
http://www.hwupgrade.it/forum/showthread.php?t=937676&page=1
Cosi vediamo se ti sei beccato qualche bestiolina.
Bambų
15-08-2006, 13:35
Allora l'explorer č il 6!
Win xp con sp2!
č abb. aggiornato...
ovvero non utilizzo gli aggiornamenti automatici (sono diffidente ad installare cose senza saper esattamente cosa installo!) ma scarico dal sito ogni mese gli ultimi aggiornamenti... dunque forse non ho tutte tutte le patch ma la maggior parte credo di si!

Ora installo HJT... e poi posto cosė, se mi date una mano sto tranquillo!
Mi sembra che ci sia un processo in pių in idle... me ne ricordavo 32 ora sono 33 e pių memoria allocata!
Intanto grazie ad entrambi!

P.s. Mi scuso per il link...non avevo pensato che poteva eventualmente causare problemi a altri!
Bambų
15-08-2006, 13:53
Ho postato il log....!
Se mi date una mano ad interpretarlo... ve ne sarei grato!
Ciao e grazie
Bambų
15-08-2006, 16:11
Pensavo di aver risolto...invece....
explorer.exe e svchost.exe ora sono assatanati....
occupano pių di 55 mb a testa!
Prima erano sempre sotto i 20mb!
che cavolo č successo? :cry:

Ho provato tutto e non sono virus...
ho idea che siano state cambiate da codice malevolo delle impostazioni sui processi? č possibile?
eraser
15-08-2006, 16:27
Fai una scansione con un software anti-rootkit quale www.gmer.net
Bambų
15-08-2006, 16:40
Ti ringrazio intanto per l'aiuto!
riesci a spiegarmi velocemente come usarlo? perchč ci capisco poco!
eraser
15-08-2006, 16:51
scaricalo, lancialo, vai nel tab "rootkit" e clicca su scan

poi ti dirá lui se ci sono file HIDDEN, cioé nascosti
Bambų
15-08-2006, 17:23
Me ne ha trovato uno una volta ma non ho capito come intervenire ...ora non me lo trova pių!
Bambų
16-08-2006, 12:12
Ero deciso a formattare....
e cosė ho provato un po' di antivirus per compararli....
e sorpresa: il nuovo AVS mi ha beccato il trojan che gmer mi aveva identificato come hidden quella volta....e poi pių!
Cancellato quello ora svchost a 26 e explorer dai 19 ai 25!
Parto da 156 mb allocati all'accensione per arrivare a poco + di 200 dopo un po' di uso!

P.s. il trojan era un rootkit come avevi pensato (Trojan.win32.RkDice.a)!

Ora mi sembra normale!
Tu che dici?

Grazie per l'aiuto!
eraser
16-08-2006, 12:24
Infezione da LinkOptimizer :)

http://www.suspectfile.com/forum/viewtopic.php?t=156

segui questa guida per controllare che tu abbia rimosso l'intera infezione :)
Bambų
17-08-2006, 23:30
allora qualcosa ho tolto....
la procedura non riescoa seguirla perchč non ho molte di quelle cose!
ora ti dico cosa trovo:
con rootkitrevealer
HKLM\SYSTEM\ControlSet001\Services\Vax347s\Config\jdgg40 17/05/2006 0.48 0 bytes Hidden from Windows API.

Inoltre ho un servizio NetESy che fa capo ad un utente fittizio...
che perō non riesco a disattivare! ma non č avviato!
Lo riescoi a cancellare con un programma (l'ho cancellato e non ricordo il nome) ma all'avvio si ricrea! anche in modalitā provvisoria!
Lo strano č che non ho exe ne dll...almeno no pių ...grazie ad AVS!
iltrojan non c'č pių...ma ogni tanto ci riprova ad agire...e AVS lo blocca sul nascere nella cartella Windows tmp... (io i temporanei li avevo cancellati tutti :cry: )
Quindi qualcosa c'č ancora!
cosa faccio?
Per favore ho bisogno di una mano!