pagina sospetta...me la controllate?

Bambù · 15-08-2006, 12:43

ho clikkato per errore su questo link

[link editato]

al posto che su quello superiore...
è partita questa pagina che mi richiedeva l'installazione di activeX da sito XXXX (non ricordo il nome...) io ho naturalmente rifiutato... senza fare nulla altro , anzi tentando di chiudere la pagina terminando il processo!
Explorer si è però chiuso e l'hard disk ha lavorato molto per qualche secondo...

A questo punto ho lanciato tutto ciò che ho a disposizione:
AVG scansione completa;
strumento rimozione malware Microsoft (agosto);
Ad-Aware free;

Naturalmente tutti all'ultimo aggiornamento possibile!
Nessuno a trovato niente....ma ho notato una cosa strana:il ripristino di windows risultava disabilitato...
L'ultima cosa che ho fatto è stato l'aggiornamento di windows
consigliato a questa pagina
http://www.hwupgrade.it/articoli/sof...orm_index.html
proprio da hwupgrade!

Cosa mi consigliate di fare?
Grazie a tutti in anticipo!

manganese · 15-08-2006, 13:23

se il sito presenta veramente un activeX maligno edita il link in modo che nessuno possa per sbaglio andarci sopra (invece di http scrivi hxxp)

eraser · 15-08-2006, 13:27

Si è un ActiveX maligno, hai fatto bene a rifiutare

Hai Internet Explorer 6? Windows aggiornato con tutte le patch? Service Pack 2?

In tal caso è un exploit ma se sei tutto aggiornato non c'è problema, esclusivamente un ingigantimento del file di paging, basta che riavvii.

manganese · 15-08-2006, 13:27

Fai un log con HJT e postalo nel 3d in evidenza
http://www.hwupgrade.it/forum/showth...=937676&page=1
Cosi vediamo se ti sei beccato qualche bestiolina.

Bambù · 15-08-2006, 13:35

Allora l'explorer è il 6!
Win xp con sp2!
è abb. aggiornato...
ovvero non utilizzo gli aggiornamenti automatici (sono diffidente ad installare cose senza saper esattamente cosa installo!) ma scarico dal sito ogni mese gli ultimi aggiornamenti... dunque forse non ho tutte tutte le patch ma la maggior parte credo di si!

Ora installo HJT... e poi posto così, se mi date una mano sto tranquillo!
Mi sembra che ci sia un processo in più in idle... me ne ricordavo 32 ora sono 33 e più memoria allocata!
Intanto grazie ad entrambi!

P.s. Mi scuso per il link...non avevo pensato che poteva eventualmente causare problemi a altri!

Bambù · 15-08-2006, 13:53

Ho postato il log....!
Se mi date una mano ad interpretarlo... ve ne sarei grato!
Ciao e grazie

Bambù · 15-08-2006, 16:11

Pensavo di aver risolto...invece....
explorer.exe e svchost.exe ora sono assatanati....
occupano più di 55 mb a testa!
Prima erano sempre sotto i 20mb!
che cavolo è successo?

Ho provato tutto e non sono virus...
ho idea che siano state cambiate da codice malevolo delle impostazioni sui processi? è possibile?

eraser · 15-08-2006, 16:27

Fai una scansione con un software anti-rootkit quale www.gmer.net

Bambù · 15-08-2006, 16:40

Ti ringrazio intanto per l'aiuto!
riesci a spiegarmi velocemente come usarlo? perchè ci capisco poco!

eraser · 15-08-2006, 16:51

scaricalo, lancialo, vai nel tab "rootkit" e clicca su scan

poi ti dirá lui se ci sono file HIDDEN, cioé nascosti

Bambù · 15-08-2006, 17:23

Me ne ha trovato uno una volta ma non ho capito come intervenire ...ora non me lo trova più!

Bambù · 16-08-2006, 12:12

Ero deciso a formattare....
e così ho provato un po' di antivirus per compararli....
e sorpresa: il nuovo AVS mi ha beccato il trojan che gmer mi aveva identificato come hidden quella volta....e poi più!
Cancellato quello ora svchost a 26 e explorer dai 19 ai 25!
Parto da 156 mb allocati all'accensione per arrivare a poco + di 200 dopo un po' di uso!

P.s. il trojan era un rootkit come avevi pensato (Trojan.win32.RkDice.a)!

Ora mi sembra normale!
Tu che dici?

Grazie per l'aiuto!

eraser · 16-08-2006, 12:24

Infezione da LinkOptimizer

http://www.suspectfile.com/forum/viewtopic.php?t=156

segui questa guida per controllare che tu abbia rimosso l'intera infezione

Bambù · 17-08-2006, 23:30

allora qualcosa ho tolto....
la procedura non riescoa seguirla perchè non ho molte di quelle cose!
ora ti dico cosa trovo:
con rootkitrevealer
HKLM\SYSTEM\ControlSet001\Services\Vax347s\Config\jdgg40 17/05/2006 0.48 0 bytes Hidden from Windows API.

Inoltre ho un servizio NetESy che fa capo ad un utente fittizio...
che però non riesco a disattivare! ma non è avviato!
Lo riescoi a cancellare con un programma (l'ho cancellato e non ricordo il nome) ma all'avvio si ricrea! anche in modalità provvisoria!
Lo strano è che non ho exe ne dll...almeno no più ...grazie ad AVS!
iltrojan non c'è più...ma ogni tanto ci riprova ad agire...e AVS lo blocca sul nascere nella cartella Windows tmp... (io i temporanei li avevo cancellati tutti

)
Quindi qualcosa c'è ancora!
cosa faccio?
Per favore ho bisogno di una mano!

15-08-2006, 12:43	#1
Bambù Senior Member Iscritto dal: Mar 2002 Messaggi: 1219	pagina sospetta...me la controllate? ho clikkato per errore su questo link [link editato] al posto che su quello superiore... è partita questa pagina che mi richiedeva l'installazione di activeX da sito XXXX (non ricordo il nome...) io ho naturalmente rifiutato... senza fare nulla altro , anzi tentando di chiudere la pagina terminando il processo! Explorer si è però chiuso e l'hard disk ha lavorato molto per qualche secondo... A questo punto ho lanciato tutto ciò che ho a disposizione: AVG scansione completa; strumento rimozione malware Microsoft (agosto); Ad-Aware free; Naturalmente tutti all'ultimo aggiornamento possibile! Nessuno a trovato niente....ma ho notato una cosa strana:il ripristino di windows risultava disabilitato... L'ultima cosa che ho fatto è stato l'aggiornamento di windows consigliato a questa pagina http://www.hwupgrade.it/articoli/sof...orm_index.html proprio da hwupgrade! Cosa mi consigliate di fare? Grazie a tutti in anticipo! __________________ Cia-Ciao Ultima modifica di eraser : 15-08-2006 alle 13:25.

15-08-2006, 13:27	#3
eraser Senior Member Iscritto dal: Nov 2001 Città: Bastia Umbra (PG) Messaggi: 6395	Si è un ActiveX maligno, hai fatto bene a rifiutare Hai Internet Explorer 6? Windows aggiornato con tutte le patch? Service Pack 2? In tal caso è un exploit ma se sei tutto aggiornato non c'è problema, esclusivamente un ingigantimento del file di paging, basta che riavvii. __________________ :: Il miglior argomento contro la democrazia è una conversazione di cinque minuti con l'elettore medio ::

15-08-2006, 13:35	#5
Bambù Senior Member Iscritto dal: Mar 2002 Messaggi: 1219	Allora l'explorer è il 6! Win xp con sp2! è abb. aggiornato... ovvero non utilizzo gli aggiornamenti automatici (sono diffidente ad installare cose senza saper esattamente cosa installo!) ma scarico dal sito ogni mese gli ultimi aggiornamenti... dunque forse non ho tutte tutte le patch ma la maggior parte credo di si! Ora installo HJT... e poi posto così, se mi date una mano sto tranquillo! Mi sembra che ci sia un processo in più in idle... me ne ricordavo 32 ora sono 33 e più memoria allocata! Intanto grazie ad entrambi! P.s. Mi scuso per il link...non avevo pensato che poteva eventualmente causare problemi a altri! __________________ Cia-Ciao

15-08-2006, 13:53	#6
Bambù Senior Member Iscritto dal: Mar 2002 Messaggi: 1219	Ho postato il log....! Se mi date una mano ad interpretarlo... ve ne sarei grato! Ciao e grazie __________________ Cia-Ciao

15-08-2006, 16:11	#7
Bambù Senior Member Iscritto dal: Mar 2002 Messaggi: 1219	Pensavo di aver risolto...invece.... explorer.exe e svchost.exe ora sono assatanati.... occupano più di 55 mb a testa! Prima erano sempre sotto i 20mb! che cavolo è successo? Ho provato tutto e non sono virus... ho idea che siano state cambiate da codice malevolo delle impostazioni sui processi? è possibile? __________________ Cia-Ciao

15-08-2006, 13:23	#2
manganese Senior Member Iscritto dal: Feb 2006 Messaggi: 642	se il sito presenta veramente un activeX maligno edita il link in modo che nessuno possa per sbaglio andarci sopra (invece di http scrivi hxxp)

15-08-2006, 16:27	#8
eraser Senior Member Iscritto dal: Nov 2001 Città: Bastia Umbra (PG) Messaggi: 6395	Fai una scansione con un software anti-rootkit quale www.gmer.net __________________ :: Il miglior argomento contro la democrazia è una conversazione di cinque minuti con l'elettore medio ::

15-08-2006, 16:40	#9
Bambù Senior Member Iscritto dal: Mar 2002 Messaggi: 1219	Ti ringrazio intanto per l'aiuto! riesci a spiegarmi velocemente come usarlo? perchè ci capisco poco! __________________ Cia-Ciao

15-08-2006, 16:51	#10
eraser Senior Member Iscritto dal: Nov 2001 Città: Bastia Umbra (PG) Messaggi: 6395	scaricalo, lancialo, vai nel tab "rootkit" e clicca su scan poi ti dirá lui se ci sono file HIDDEN, cioé nascosti __________________ :: Il miglior argomento contro la democrazia è una conversazione di cinque minuti con l'elettore medio ::

15-08-2006, 17:23	#11
Bambù Senior Member Iscritto dal: Mar 2002 Messaggi: 1219	Me ne ha trovato uno una volta ma non ho capito come intervenire ...ora non me lo trova più! __________________ Cia-Ciao

16-08-2006, 12:12	#12
Bambù Senior Member Iscritto dal: Mar 2002 Messaggi: 1219	Ero deciso a formattare.... e così ho provato un po' di antivirus per compararli.... e sorpresa: il nuovo AVS mi ha beccato il trojan che gmer mi aveva identificato come hidden quella volta....e poi più! Cancellato quello ora svchost a 26 e explorer dai 19 ai 25! Parto da 156 mb allocati all'accensione per arrivare a poco + di 200 dopo un po' di uso! P.s. il trojan era un rootkit come avevi pensato (Trojan.win32.RkDice.a)! Ora mi sembra normale! Tu che dici? Grazie per l'aiuto! __________________ Cia-Ciao

16-08-2006, 12:24	#13
eraser Senior Member Iscritto dal: Nov 2001 Città: Bastia Umbra (PG) Messaggi: 6395	Infezione da LinkOptimizer http://www.suspectfile.com/forum/viewtopic.php?t=156 segui questa guida per controllare che tu abbia rimosso l'intera infezione __________________ :: Il miglior argomento contro la democrazia è una conversazione di cinque minuti con l'elettore medio ::

17-08-2006, 23:30	#14
Bambù Senior Member Iscritto dal: Mar 2002 Messaggi: 1219	allora qualcosa ho tolto.... la procedura non riescoa seguirla perchè non ho molte di quelle cose! ora ti dico cosa trovo: con rootkitrevealer HKLM\SYSTEM\ControlSet001\Services\Vax347s\Config\jdgg40 17/05/2006 0.48 0 bytes Hidden from Windows API. Inoltre ho un servizio NetESy che fa capo ad un utente fittizio... che però non riesco a disattivare! ma non è avviato! Lo riescoi a cancellare con un programma (l'ho cancellato e non ricordo il nome) ma all'avvio si ricrea! anche in modalità provvisoria! Lo strano è che non ho exe ne dll...almeno no più ...grazie ad AVS! iltrojan non c'è più...ma ogni tanto ci riprova ad agire...e AVS lo blocca sul nascere nella cartella Windows tmp... (io i temporanei li avevo cancellati tutti ) Quindi qualcosa c'è ancora! cosa faccio? Per favore ho bisogno di una mano! __________________ Cia-Ciao Ultima modifica di Bambù : 18-08-2006 alle 12:40.

Strumenti
Mostra una versione stampabile Invia questa pagina per email