File sospetti...

[leoben]

Nei processi del Task Manager mi sono improvvisamente comparsi 3 file sospetti:

win32s.exe
feqfxx.exe
sdaxzl.exe

Inizialmente pensavo che fossero file relativi all'installazione della mia nuova SB Audigy 2 ZS. Però tutte le volte che mi collegavo ad internet, tali file tentavano l'accesso e per sicurezza li fho fermati col firewall.
Controllando nel registro mi sono accorto che le chiavi che li attivavano erano "sospette" per cui ho deciso di cancellarle tutte e di cancellare anche i file (residenti nella cartella WINNT\System32 del mio Win2000).
Ho fatto la scansione dell'intero sistema col Norton Antivirus appena aggiornato e con Spybot e fino a stamani andava tutto bene. Ora i file sono misteriosamente ricomparsi nel task manager...
Su Google nessuna traccia di cosa siano questi file.

Qualcuno mi sa dare qualche informazione???

Grazie!!!

[eraser]

mandameli a fileanalysis@email.it

[leoben]

Originariamente inviato da eraser
mandameli a fileanalysis@email.it

Ti ho appena inviato l'email con i file allegati.

Se può servire, ho un'aggiornamento dell'ultima ora.
Oggi ho lasciato il pc acceso per analizzare tutto il disco rigido con l'antivirus.
Al rientro sul monitor ho trovato, oltre al risultato dell'antivirus (nessun file infetto), anche una finestra di un archivio WinRAR self-extracting che non si era chiusa a causa di un errore. Guarda caso nell'archivio auto-estraente c'erano il file feqfxx.exe e un altro (vcvst.exe) che però non trovo nel task manager. Ovviamente nessuno aveva avviato l'estrazione dei file non sapendo quale archivio li contiene...

In allegato ho messo la parte del desktop con la finestra di WinRAR. Come posso capire dov'è il file?

Grazie ancora!!!

[eraser]

allora, hai fatto tombola tutti e tre infetti

sdaxzl.exe

variante del worm SDBOT

copia il file all'interno della directory di sistema e crea le voci
"vccacA"="sdaxzl.exe" in "HKLM\Software\Microsoft\Windows\CurrentVersion\Run".

"vccacA"="sdaxzl.exe" in "HKLM\Software\Microsoft\Windows\CurrentVersion\RunServices".

"vccacA"="sdaxzl.exe" in "HKCU\Software\Microsoft\Windows\CurrentVersion\Run".

ha funzioni di backdoor via IRC

win32s.exe

variante del worm SDBOT

copia il file all'interno della directory di sistema e crea le voci

"Sysgate Personal Firewall"="win32s.exe" in "HKLM\Software\Microsoft\Windows\CurrentVersion\Run".

"Sysgate Personal Firewall"="win32s.exe" in "HKLM\Software\Microsoft\Windows\CurrentVersion\RunServices".

"Sysgate Personal Firewall"="win32s.exe" in "HKCU\Software\Microsoft\Windows\CurrentVersion\Run".

ha funzioni di backdoor via IRC

feqfxx.exe

variante del worm Ranky

crea la seguente voce

"qffecdas"="c:\sample.exe" in "HKLM\Software\Microsoft\Windows\CurrentVersion\Run"

e apre un proxy SOCKS

Ciao

Eraser

[leoben]

Eccomi di rientro!

Prima di tutto grazie dell'aiuto.

Però non capisco perchè il norton Antivirus 2004 non ne riconosce neanche uno... come faccio a ripulire tutto il computer???

[fetidus]

Ciao.
Di worm il norton 2004 non ne becca manco uno e spesso sbaglia pure i virus....... io cambierei antivirus...
Ciaooooooooooooooooooo

[leoben]

Originariamente inviato da fetidus
Ciao.
Di worm il norton 2004 non ne becca manco uno e spesso sbaglia pure i virus....... io cambierei antivirus...
Ciaooooooooooooooooooo

Qualche consiglio????

[leoben]

Ho appena installato AdAware che mi ha subito trovato un trojan: phjear.exe nella cartella winnt\system32
Poi ho ripulito il registro dalle chiavi relative ai file in esecuzione dei quali scrivevo sopra. Al riavvio ho cancellato i file.
Per ora sembra che vada tutto bene...