Help!! sono nei guai ,soket de trois v1

[andy_mouse]

Originariamente inviato da arlosko
Allora,andiamo con ordine:
Io ho come sistema operativo Win98SE,il mio firewall è NIS 2002 e l'antivirus è il NAV 2002,entrambi aggiornati a domenica 16.05.04 - Domenica sera,quando mi sono connesso ad internet, mi è successo quanto segue:
A) Il Pc è lentissimo,mi sembrava di avere un 386,anche per spostare il mouse dovevo attendere 4-5 secondi
B) Gli avvisi di "Blocco predefinito a sokets de trois"e"Trovato blocco predefinito a sokets de trois" erano 5 al secondo
C) Ogni 5 minuti di navigazione la connessione veniva terminata (io ho Alice ADSL).Dovevo quindi riconnettermi e dopo altri 5 minuti risuccedeva quanto già detto.
D) NAV 2002 non rilevava nulla.
E) Se non mi connetto il pc funziona regolarmente

Potete dirmi se in base a queste caratteristiche io possa dire che sul mio pc ha preso dimora il suddetto sokets de trois v1 so ?!?

si questo fatto delle 1000 connessioni è proprio quel trojan

[bpm]

Originariamente inviato da andy_mouse
questo articolo spiega tutto , sempre che si tratti di questo socket de trois 1

Il trojan che gira in questi giorni si chiama così:

Troia Sokets de Trois v1

ha orig francesi ed è una variante di Blazer5

sfrutta il fault di RPC di Microsoft e permette la gestione da remoto del pc attrverso
le porte 5000 e 5001 stabilendo connessioni TCP

(io ho impostato il firewall per bloccarle così rilevo i tentativi di accesso che
continuano a venire da diversi pc a rotazione)

una volta che uno se lo becca i sintomi sono:
cpu al 100%
chiusura inaspettata della applicazioni e dell'antivirus,
impossibilità di aprire il registro di config di windows.

Se cercate su internet viene detto di cancellare alcuni processi attivi (blazer.exe, ms..qualcosa)
ma nei pc che sono stati infettati non erano presenti.
Il processo che va tolto è
wmiprvse32.exe

tuttavia non compare nel task manager perchè viene caricato all'avvio insieme a service.exe

Ho scoperto due varianti:
1. all'avvio viene caricato il processo wmiprvse32.exe separatamente da services.exe

in questo caso basta rimuovere la voce relativa nel registro di Windows:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

e impedire l'accesso alle porte 5000 e 5001 per non ribeccarlo.

2. il processo wmiprvse32.exe viene caricato automaticamente ma non compare alcuna voce in
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
quindi non so come si possa togliere.

Quello che sono riuscita a fare è:
- avviare col cavo di rete staccato (wmiprvse32.exe viene avviato ma sono presenti solo 2 processi, mentre se la rete è disponibile diventano centinaia fino ad intasare tutto!);
- eseguire active ports (si scarica cercando con google) e vedere il PID del processo;
- killarlo (io ho usato versione del comando kill faidate per windows (scaricabile: http://www.nextl3vel.net/Chris123NT/...rtExplorer.zip
)(messo in WINNT così lo richiamo da linea di comando passando il PID del processo da killare))

wmiprvse32.exe non ce l'ho io,stasera non posso ,domani provo con la seconda

[bpm]

oggi non lo fa più, ha smesso da solo senza che io facessi niente.
non ci capisco piou niente

[MartiniG.]

Originariamente inviato da bpm
oggi non lo fa più, ha smesso da solo senza che io facessi niente.
non ci capisco piou niente

ha!!!!!!!! è diventato uno di loro!!!!!!!!

[arlosko]

Ciao a tutti, io ho trovato, con Spybot, una modifica al registro fatta da una qualcosa che si chiama hijack con valore %1%
Ho eliminato questa voce ed il pc va che è una bellezza...
C'entra nulla con il problema nostro ?!?
MAH...

[bpm]

Originariamente inviato da MartiniG.
ha!!!!!!!! è diventato uno di loro!!!!!!!!

come uno di loro?

[bpm]

ho scaricato e fatto girare spybot :
mi ha corretto una lista infinita di file ,in pratica mezzo registro