Unax
15-07-2012, 16:29
allora ieri mi ha telefonato un parente dicendomi che nella cartella temp del profilo c'è un file chiamato jucheck.exe che anche se cancellabile si riforma dopo pochi secondi
già questo mi ha fatto sospettare un virus oltre al fatto che quel file dovrebbe trovarsi normalmente nella cartella di java
infatti quel jucheck.exe nella cartella temp non era il vero file jucheck.exe a cui fa riferimento questa pagina http://www.java.com/it/download/faq/jucheck.xml
spybot lo identificava come DNSFLUSH.CWS ma dopo la rimozione da parte di spybot si riformava sia la chiave del registro che il file, la cancellazione manuale del file e della chiave del registro otteneva il medesimo risultato
la navigazione funzionava normalmente ma il download di file risultava stranamento lento o come bloccato, anche l'accesso a siti come virustotal o siti di alcuni antivirus era bloccata
MSE e antimalwarebyte seppur aggiornati manco lo notavano
accedendo ad un altro sito per la scansione di singoli file ed inviando il file jucheck.exe si otteneva che alcuni antivirus lo vedevano tra cui avira, AVG Norman e Dr Web mentre MSE antimalwarebyte kaspersky lo vedevano pulito
ora considerato che questo virus non è che sia nuovissimo è mai possibile che diversi antivirus anche blasonati manco lo riconoscessero? certo potrebbe trattarsi di una variante più recente ma il fatto che spybot (vecchio e desueto) lo riconoscesse e che lo ha tra le firme dal 2009 mi porta a sospettare che non fosse una variante recente per lo meno nella parte che riguardava jucheck.exe
comunque morale della favola visto che Norman e Dr web lo riconoscevano ho avviato il pc in modalità provvisoria, scaricato tranquillamente il norman malware cleaner e Dr web Cure-it e ho scansionato
Norman malware cleaner ha rimosso l'infezione (tra cui anche un eseguibile che si trovava nella cartella system32 e svariate chiavi nel registro oltre a quella identificata da spybot, alla successiva scansione non ha trovato niente
una succevviva scansione con Dr web cure-it ha confermanto la non presenza di infezioni ed i siti di antivirus prima bloccati sono tornati accessibili
quindi se vi dovesse capitare di vedere nella cartella temp un tale file o spybot rilevasse la presenza di DNSFLUSH.CWS non perdete tempo scaricate il norman malware cleaner e fategli fare lo sporco lavoro di rimozione
già questo mi ha fatto sospettare un virus oltre al fatto che quel file dovrebbe trovarsi normalmente nella cartella di java
infatti quel jucheck.exe nella cartella temp non era il vero file jucheck.exe a cui fa riferimento questa pagina http://www.java.com/it/download/faq/jucheck.xml
spybot lo identificava come DNSFLUSH.CWS ma dopo la rimozione da parte di spybot si riformava sia la chiave del registro che il file, la cancellazione manuale del file e della chiave del registro otteneva il medesimo risultato
la navigazione funzionava normalmente ma il download di file risultava stranamento lento o come bloccato, anche l'accesso a siti come virustotal o siti di alcuni antivirus era bloccata
MSE e antimalwarebyte seppur aggiornati manco lo notavano
accedendo ad un altro sito per la scansione di singoli file ed inviando il file jucheck.exe si otteneva che alcuni antivirus lo vedevano tra cui avira, AVG Norman e Dr Web mentre MSE antimalwarebyte kaspersky lo vedevano pulito
ora considerato che questo virus non è che sia nuovissimo è mai possibile che diversi antivirus anche blasonati manco lo riconoscessero? certo potrebbe trattarsi di una variante più recente ma il fatto che spybot (vecchio e desueto) lo riconoscesse e che lo ha tra le firme dal 2009 mi porta a sospettare che non fosse una variante recente per lo meno nella parte che riguardava jucheck.exe
comunque morale della favola visto che Norman e Dr web lo riconoscevano ho avviato il pc in modalità provvisoria, scaricato tranquillamente il norman malware cleaner e Dr web Cure-it e ho scansionato
Norman malware cleaner ha rimosso l'infezione (tra cui anche un eseguibile che si trovava nella cartella system32 e svariate chiavi nel registro oltre a quella identificata da spybot, alla successiva scansione non ha trovato niente
una succevviva scansione con Dr web cure-it ha confermanto la non presenza di infezioni ed i siti di antivirus prima bloccati sono tornati accessibili
quindi se vi dovesse capitare di vedere nella cartella temp un tale file o spybot rilevasse la presenza di DNSFLUSH.CWS non perdete tempo scaricate il norman malware cleaner e fategli fare lo sporco lavoro di rimozione