Attenti a quei due!

[eraser]

tra parentesi crea anche una certa instabilità nel sistema, ogni tanto explorer.exe crasha

taskdir.dll è un injector

[eraser]

ps: scusate la descrizione in real time se rompo le scatole fate un fischio

[wgator]

Originariamente inviato da eraser

EDIT: sei sicuro? ho provato ora con le basi estese e kav riconosce solo taskdir.dll non taskdir.exe

si, scusa... a forza di passare file al setaccio dei vari antivirus mi sono incasinato


taskdir.exe e parad.raw.exe non sono risconosciuti dal KAV (solo taskdir.dll è riconosciuto da KAV)

taskdir.exe e parad.raw.exe sono riconosciuti come sospetti solo dal Panda e dal DrWeb:

Panda 9.0.0.4 03.21.2006 Suspicious file
DrWeb 4.33 03.22.2006 Trojan.Spambot

[nV 25]

io sono gasato a leggere gli sviluppi in real time...

[eraser]

daniele hai ancora il pc infetto?

se sì, puoi provare con risorse del computer ad accedere a windows/system32?

[juninho85]

pazzi

[wgator]

Originariamente inviato da eraser

tra parentesi crea anche una certa instabilità nel sistema, ogni tanto explorer.exe crasha

taskdir.dll è un injector

Infatti... ieri pomeriggio, quando ho iniziato a guardarci, il padrone di uno dei pc mi ha chiamato per segnalarmi due crash quasi consecutivi di IE, per il resto non c'erano altri sintomi. Il suo vicino di stanza mi ha chiamato quasi contemporaneamente per dirmi che anche il suo computer aveva crashato IE...
Mi sono accorto di qualcosa di anomalo perchè il loro taskmanager evidenziava caricato il "taskdir.exe"

[eraser]

ok, finita la prima passata

ricomincio daccapo

[wgator]

Originariamente inviato da eraser

daniele hai ancora il pc infetto?

se sì, puoi provare con risorse del computer ad accedere a windows/system32?

Boh... forse non è più infetto... ora controllo ma credo di aver tolto e messo da parte tutti i virus sulla famosa drive pen... Comunque ho aperto system32 da "risorse del computer"...

[eraser]

Originariamente inviato da wgator

Boh... forse non è più infetto... ora controllo ma credo di aver tolto e messo da parte tutti i virus sulla famosa drive pen... Comunque ho aperto system32 da "risorse del computer"...

se hai rimosso i files e non c'è piu niente non è piu infetto

non so se l'instabilità è voluta o è un bug del malware, sviluppata male magari la routine di dll injection

[eraser]

BTW: sto con una finestra lavorando sui malware, con una sul forum e con due parlo con un paio di ricercatori di alcune società (intanto che analizzo faccio aggiornare le signature agli antivirus) oggi mi fate fare gli straordinari

[nV 25]

Originariamente inviato da eraser

... oggi mi fate fare gli straordinari

tanto se dovevi studiare come seguivi stamani le lezioni....

Scherzo, eh!

Sei un mito!

[eraser]

Originariamente inviato da nV 25

tanto se dovevi studiare come seguivi stamani le lezioni....

in effetti, è vero

[eraser]

mi ero scordato di dire che il downloader modifica le impostazioni di sicurezza di Internet Explorer (le zone)

Mumble, mi son letto le tre paginette, e devo dire che la cosa è tosta

Non l'ho beccato, per fortuna, ma sarebbe utile sapere bene o male su che genere di siti tranquilli (visto che è stato puntualizzato nel primo post da eraser stesso) lo si becca

Comunque se kav (per la cronaca ho l'ultima beta uscita ieri, la h) dai vostri test lo becca son apposto puro io

[eraser]

stacco un paio di minuti mi si incrociano gli occhi

[wgator]

Grazie Eraser,
hai fatto un lavoro fantastico
Grazie ai tuoi suggerimenti l'ho rimosso dai PC dei miei amici, stasera lo tolgo anche dal mio PC-cavia dove l'avevo installato questa mattina
Spero che non lo becchino in molti perchè al momento si toglie solo a mano
Spero anche che le maggiori virus house aggiornino le firme rapidamente. Farò sapere dato che ho conservato tutti i file

[eraser]

Originariamente inviato da wgator

Grazie Eraser,
hai fatto un lavoro fantastico
Grazie ai tuoi suggerimenti l'ho rimosso dai PC dei miei amici, stasera lo tolgo anche dal mio PC-cavia dove l'avevo installato questa mattina
Spero che non lo becchino in molti perchè al momento si toglie solo a mano
Spero anche che le maggiori virus house aggiornino le firme rapidamente. Farò sapere dato che ho conservato tutti i file

grazie mille per i complimenti anche se non è che abbia fatto poi molto

sto provvedendo personalmente a farlo riconoscere agli antivirus

[eraser]

riassumendo:

VOBLAIZDUPLA.EXE è un trojan downloader che scarica da un particolare sito un trojan, denominato taskdir.exe e una dll, denominata taskdir.dll.

taskdir.dll attraverso una dll injection viene inserita in tutti i processi del sistema e, con funzioni sembra da "rootkit", nasconde l'esecuzione del trojan taskdir.exe

[nV 25]

Originariamente inviato da eraser

..

taskdir.dll attraverso una dll injection viene inserita in tutti i processi del sistema e, con funzioni sembra da "rootkit", nasconde l'esecuzione del trojan taskdir.exe

lo attendo al varco di Process Guard:
dinni che venga, vai!!

...e se un lo becca lui, provvederà RegDefend

PS: quando hai recuperato la vista, dacci poi anche qualche info sui metodi che utilizzate per fare le vs/analisi

Wgator usa BartPE, se non ho capito male....

Saluti di cuore