Aiuto Porte e Connessioni entrata uscita Trojan Controllo Remoto

[pazzokramaz]

Ciao Ragazzi
Non so se è la sezione giusta, nel caso che mi sbagli spostatemi il tread

in pratica sono sicuro di essere stato vittima di qualche trojan reverse, è probabile che abbia qualche porta aperta in ascolto, falsi scvhost.exe o molto più probabilmente qualche programma nascosto che tenta di chiamare qualche server per poi connettersi in remoto ai miei pc.

ho molte macchine in rete con antivir ma si sa gli antivirus non sono infallibili, antivir poi..

ho usato cports.exe e Tcpview.exe per vedere cosa ho in ascolto e cosa è aperto, non è che ci capisca molto, quali sono le porte che devo avere aperte di default e quelle di normale funzionamento?!?!?!

esistono altri programmi per verificare le porte e le connessioni in uscita?
apparte un normale firewall.

ho il router con il firewall in entrata, ho il firewal standard di windows xp

vi posto i log dei due programmini, vorrei capire e riuscire a identificare le cose sospette e i trojan reverse se sono infetto, cosi controllo anche su i restanti pc

questo è il log del 35 in rete e God è il nome del pc
grazie

questo tread potrebbe essere utile anche per altri utenti ad identificare liberi accessi al pc o programmi reverse per il controllo malevolo del pc

[xcdegasp]

segui la semplice procedura descritta in Guida alla Disinfezione per Infetti e pubblica tutti i log richiesti facendo attenzione alle Regole di Sezione, così potremmo aiutarti

[pazzokramaz]

sono molto preoccupato

posto i log.. soprattutto quello di hackjack

è al 98% probabile che gli antivirus se sono infetto non rileveranno nulla.. vedrai sono infetto da un trojan reverse impacchettato apposta solo per me

non c'è un sito che spiega quali servizi e porte di microsoft devono stare aperte o in ascolto ??

grazie

[xcdegasp]

fidati di noi e dei compiti che ti diamo

[pazzokramaz]

Aiuto è un bel casino.. adesso la situazione è anche peggiorata :P

ho scaricato GMER ho fatto una scansione, e non riesce neanche a portarla a termine... se non rinomino continuamente il file crascia.. cmq le scansioni terminano con schermata blu quando fa il controllo dei file dentro system32\driver

ora però il pc è instabile.. fa una pausa di un secondo o due ogni 10 secondi :S
è frustrante
gmer mi ha reso instabile windows non posso neanche lavorare :P
come rimuovo i file sys e i driver di gmer????
non c'è il gmer_uninstal.cmd dentro windows

HELP!!!

Logfile of Trend Micro HijackThis v2.0.4
Scan saved at 17.25.43, on 05/08/2010
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v8.00 (8.00.6001.18702)
Boot mode: Normal

Running processes:
log rimosso, leggere le Regole di Sezione


--
End of file - 7250 bytes



ROOTREPEAL (c) AD, 2007-2009
==================================================
Scan Start Time: 2010/08/05 17:26
Program Version: Version 1.3.5.0
Windows Version: Windows XP SP3
==================================================



GMER 1.0.15.15281 - http://www.gmer.net
Rootkit scan 2010-08-05 17:54:38
Windows 5.1.2600 Service Pack 3
Running: yr8o09ci.exe; Driver: C:\TEMPEC~1\Temp\pxtdqpow.sys


log rimosso, leggere le Regole di Sezione

[xcdegasp]

logs rimossi, leggere le Regole di Sezione !!


segui la semplice procedura descritta in Guida alla Disinfezione per Infetti e pubblica tutti i log richiesti facendo attenzione alle Regole di Sezione, così potremmo aiutarti

[pazzokramaz]

ellego i file txt ? tanto sono di piccole dimentioni grazie ciao

[xcdegasp]

segui la guida così risolviamo
poi nessuno ti vieta di proseguire per la tua strada ma in 4 giorni non hai avuto effetti positivi, anzi ora annoveri pure instabilità al pc.. come vedi non è che ci si sveglia la mattina e ci si inventa la procedura per disinfestare il pc

[pazzokramaz]

ok ma la guida l'avevo seguita quelle cose sono state la mia prima priorità dopo il dubbio

gli antivirus non rilevano nulla, gli antispyware si qualche spyware ma roba tranquilla di normale navigazione, il pc lo tengo sempre sotto controllo,
se sono infetto non sono infetto da roba comune. che casino

nei log che avevo postato, c'è 2 o 3 cose sospette, soprattutto nella directory driver in system32 i file .sys nascosti

vi allego i log magari ci date una occhiata se vi salta qualcosa di sospetto vi ringrazio se me lo segnalata casomai tento di rimuovere il file malevolo..
ormai è paranoia

avevo postato le porte, ho il sospetto di avere un server reverse che si connette all esterno inviando dati verso un client, password e dati del disco
guardavo le connessioni e le porte per questo.. solo che non riesco a identificare i processi svchost veri e falsi

[xcdegasp]

avere driver nascostii in system32 significa avere dei rootkit ed è impossibile che non venissero intercettati con quella guida.. bisogna essere in grado di decifrare i dati raccolti sopratutto con sysinspector