Occhio a StrongPity, il malware che si insidia in WinRAR e TrueCrypt

[DeMonViTo]

Originariamente inviato da Ryddyck

Non saprei, dal sito contraffatto risultano le versioni 5.31 e poi una "wrar53b5.exe", potrebbe essere la 5.30 beta5?!
Comunque vedi se hai qualche file sospetto in giro, fai delle scansioni con hitmanpro, malwarebytes antimalware e magari anche l'antiransomware.

Per il resto kaspersky ha spiegato che si è avviato tutto a fine maggio, ma non ha specificato quando l'intrusione è scomparsa ed i file sono stati ripristinati (per la versione italiana, che poi riportino anche uno screenshot della pagina con la versione 5.40 sinceramente non so cosa pensare). Per il resto ho fatto l'unpacking dell'installer della 5.40 (la mia versione personale risalente a più di un mese fa, quella ufficiale da rarlab e quella del distributore locale), sembra tutto tranquillo (rispetto alle versioni 5.31, quelle infette dovrebbero pesare circa 700KB in più o almeno si capisce questo dal sito riportato).

Hitman pro : niente
Malwarebytes Anti-malware : niente
antiransomware cosa provo?

Bho

[Emin001]

@DeMonViTo Puoi sempre confrontare gli installer se conservi il precedente.

Malwarebytes Anti-Ransomware: https://forums.malwarebytes.org/topi...nsomware-beta/


@Ryddyck Le scansioni non rilevano nulla di nulla, nemmeno un cookie. Dopo aver avuto rallentamenti con avira free su win10 sono passato a defender+malwarebytes premium a settembre 2015 sul pc che ho controllato. Gli altri pc che ancora devo controllare hanno avira free(tutti i win7) o kaspersky in versione di prova(niente crack ed affini). Speriamo bene.

[DeMonViTo]

Originariamente inviato da Emin001

@DeMonViTo Puoi sempre confrontare gli installer se conservi il precedente.

Malwarebytes Anti-Ransomware: https://forums.malwarebytes.org/topi...nsomware-beta/

Ok, dice che sono protetto ed è tutto ok (non ha funzione di scansione).

Purtroppo gli eseguibili non li ho, mi tocca rassegnarmi... comunque avast, hitman e Malwarebytes avrebbero dovuto dirmi qualcosa se fossi infetto...

mi rassegno

[maxnaldo]

Originariamente inviato da Ryddyck

...


Dipende dal software, se ad esempio dovessi metterti lì ad aspettare a scaricare tutta la suite adobe che pesa una decina di GB sarebbe più utile averla già offline (ovviamente parliamo sempre di suite aggiornate una volta all'anno e che non pesano 3MB).

...

beh, si, ma dipende molto dalla tua banda disponibile e dalla frequenza delle installazioni.

io ad esempio potrei riscaricarmelo quell'unica volta all'anno che mi serve installarlo dopo una formattazione del pc, anche perchè sicuramente in un anno avranno effettuato vari aggiornamenti, quindi meglio il download, soprattutto con una velocità da fibra 100/20, alla velocità massima scarico circa 500MB al minuto.

[Ryddyck]

Sfortunatamente non tutti hanno la fibra e poi mettendo caso che il server sia carico difficilmente si scarica a tutta banda.

L'antiransomware da solo protezione ma non scansiona, se vuoi scansionare prova con l'antirootkit sempre della malwarebytes. Comunque se non hai trovato nulla difficilmente sei infetto, mi viene in mente comunque anche roguekiller per i ransomware, rkill e anche adwcleaner se lo ritieni opportuno fare qualche scansione. Se proprio vuoi perdere tempo puoi fare le scansioni con i vari rescue disk dei vari produttori antivirus. Ti rimando a questa discussione http://www.hwupgrade.it/forum/showthread.php?t=2763407

[Andrea Winrar]

Ciao.

Il problema è stato molto contenuto ed è avvenuto mesi fa:
http://www.winrar.it/phpBB3/viewtopic.php?f=2&p=1524#p1524

[Zenida]

Originariamente inviato da Andrea Winrar

Ciao.

Il problema è stato molto contenuto ed è avvenuto mesi fa:
http://www.winrar.it/phpBB3/viewtopi...2&p=1524#p1524

Dopo aver letto Andrea Winrar con 1 solo messaggio inviato e una pagina PHP devo ammettere che mi cagavo sotto ad aprire il tuo link

cmq grazie della precisazione anche da queste parti

[Saturn]

Originariamente inviato da Andrea Winrar

Ciao.

Il problema è stato molto contenuto ed è avvenuto mesi fa:
http://www.winrar.it/phpBB3/viewtopi...2&p=1524#p1524

Grazie per i chiarimenti anche da parte mia.

[dvbman]

Ciao,

in ufficio mi è capitato di dover controllare alcuni pc su cui vi erano versioni di winrar scaricate in quel periodo, come appunto la 5.30_it. Essendo ancora presenti gli installer nella cartella dei downloads, oltre all'ausilio degli av (estraendo fisicamente i dischi) ho trovato sul web (e su virustotal) conferme che queste 2 versioni sono pulite, perciò è stato semplice togliersi ogni dubbio.

Nome del file: wrar530it.exe
SHA256: 7f23e6b8b3320bdf4a5b48583310844f97448e3ff10251b31ae25c5daeadb32f

Nome del file: wrar531it.exe
SHA256: 7eab5a1f02199f9bf7156d7e2f2a21e89c777a4e50e921562bed3429eb86d8ee

La cosa curiosa è che l'ultima versione, la 5.40, è etichettata da virustotal come a rischio..anche se sembrano essere 2 falsi positivi.
O meglio, "baidu" lo segnala come Win32.Trojan.WisdomEyes.16070401.9500.9996 mentre "Yandex" come un generico riskware.