Attenzione nuovo trojan sul p2p (invisibile agli antivirus !)

[deja vu]

Salve,
vi informo che sul p2p sta girando un piccolo eseguibile che alla scansione con tutti gli antivirus aggiornati (kaspersky, antivir, bitdefender, pure ewido) risulta essere pulito ma e' invece un trojan.
Esso installa un paio di eseguibili tra cui un certo smss.exe nella cartella c:\windows\system (tra l'altro al prossimo avvio riesce anche a bloccare il Kaspersky se ce l'avete installato).
Per il momento e' possibile individuarlo solo con hijackthis esaminando il log (comparirà tra l'altro la voce
"O4 - HKLM\..\Run: [.nvsvc] C:\WINDOWS\system\smss.exe /w")


p.s. a chi fosse interessato, gliene mando una copia :-)...

Saluti

[matteo1]

basta non scaricare warez

[Stev-O]

è già capitato almeno 4 volte quella voce
sfuggirà alle scansioni perchè agisce in modo un po' particolare ma non sfugge al log di hijack

[wgator]

Ciao,

la cosa si ricollega a Questo Post dove hanno fatto analizzare quel file a vari scanners on line

[Stev-O]

non so e era la stessa cosa ma
O4 - HKLM\..\Run: [.nvsvc] C:\WINDOWS\system\smss.exe /w
si è già visto numerose volte di recente nei log

[deja vu]

beh per chi volesse fare qualche test sul file..lo allego in formato zip..

[wgator]

non allegare file del genere sul forum! Oltretutto si tratta anche di materiale non riconosciuto dalla maggioranza degli antivirus.
Io l'ho scaricato e ora lo controllo ma l'ho rimosso dal forum.

[Stev-O]

avevo anche trovato un post del forum p2pforum.it in cui si parlava sempre di quella voce e di un modo per rimuovere il tutto

[deja vu]

x wgator : Ok scusa...ma infondo è stato detto chiaramente che e' un virus ed era pure zippato....
Cmq l'hai esaminato ?...Novità ?

[wgator]

Ciao,

al momento è riconosciuto solo da NOD32:
NOD32 Found probably a variant of Win32/TrojanDownloader.Agent.AHT (probable variant)

[wgator]

Originariamente inviato da deja vu

x wgator : Ok scusa...ma infondo è stato detto chiaramente che e' un virus ed era pure zippato....
Cmq l'hai esaminato ?...Novità ?

Si ma è molto pericoloso, qualcuno potrebbe infettarsi

[Codename47]

Originariamente inviato da wgator

Ciao,

al momento è riconosciuto solo da NOD32:
NOD32 Found probably a variant of Win32/TrojanDownloader.Agent.AHT (probable variant)

Nod32 rulez! E meno male che è poco efficace con i trojan!

PS: post n. 3000! E qui si festeggia!

[eraser]

mi è arrivato or ora il sample

chiudo la pratica con un altro sample che mi è arrivato oggi e mi metto a lavoro su questo

Qualche minuto di pazienza

[eraser]

uhm....penso proprio che è il sample del quale sto terminando l'analisi di oggi

Uploado ora l'analisi

[eraser]

ANALISI

[deja vu]

sei un mito !

[Stev-O]

bene allora erano stati rimossi tutti nelle precedenti infezioni

[eraser]

Segnalato qualche ora fa ai ricercatori Kaspersky.

individuato ora da Kaspersky con il nome di:

Trojan-Proxy.Win32.Horst.af

[peppino80]

Originariamente inviato da eraser

uhm....penso proprio che è il sample del quale sto terminando l'analisi di oggi

Uploado ora l'analisi

quello che ti ho inviato io?

[PnP]

Interessante come cosa.. Il NOD lo trovava prima di Kaspersky?... Bisognerebbe provare se la versione 2006 lo avrebbe rilevato prima, l'ultima build è molto stabile e attivando tutto è piu veloce di NOD... Unica cosa... Kaspersky in 2 ore lo ha aggiunto, NOD sarebbero passate almeno 48 ore, non sono ultra veloci ad aggiungere le definizioni...