L'angolo di kapa: news e supporto per truffe, trojan e virus

Senza aprire nuovi post per trojan, truffe e altro ne apro uno e basta.

Phishing by Banca Mediolanum

Da qualche giorno gira una falsa email con oggetto:
Banca Mediolanum: Solennemente.
Si tratta di uno dei peggiori casi di phishing, invitio a fare la massima attenzione soprattutto se avete un conto con questa Banca ed a cestinare la mail non appena la ricevete.
Ecco il testo dell'email:



Se evidenziate con il puntatore del mouse lo spazio bianco compare una farneticante frase in inglese:



Attenzione quindi!

service32.exe, syst32.dll e syshost.dll - di cosa trattasi?
É ufficiale: i rootkit stanno diventando la piaga del nuovo millennio.

C’é stato gromozon, infezioni su infezioni e pochissimi si sono mossi in tempo. In questi giorni mi stanno arrivando segnalazioni di un’altra strana infezione che a poco a poco sta crescendo di intensità. Dico a poco a poco anche se proprio in questi giorni mi sono arrivati circa 200 samples di questo dropper.

Parliamo del fantomatico service32.exe, un file che viene installato sotto la directory di Windows insieme alla dll syst32.dll (o syshost.dll). Ma, se proviamo a cancellarlo, ci dá accesso negato. Allora andiamo a terminare il processo via Task Manager, ma il file non si trova. Scoperto l’arcano…un altro rootkit.

Infatti service32.exe, che crea una copia di sé stesso e crea la dll, ha funzionalitá di rootkit usermode, prendendo possesso delle API native (da ntdll.dll):

Inoltre aggiunge le seguenti due chiavi nel registro di sistema:


Subito dopo il malware va a dirottare il browser per scaricare un dialer, nella directory dei files temporanei, chiamato it_0130.exe. Il dialer é fornito da CallSolutions e sul loro sito possiamo leggere:


Per rimuovere il rootkit possiamo usare un semplice tool quale Gmer . Lo lanciamo, ci dirá se il processo Service32.exe é hidden (nascosto). Se é presente, clicchiamo con il tasto destro del mouse sul file e facciamo “Kill Process”.



Dopo di che lanciamo da START - ESEGUI il programma “regedit” e navighiamo fino alla voce:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run\

e cancelliamo la chiave 1 = C:\WINDOWS\service32.exe



Finito, riavviamo il pc. Una volta ripartito il sistema operativo possiamo eliminare tranquillamente i files service32.exe e syst32.dll (o syshost.dll) dalla directory di Windows e il file it_0130.exe dalla directory dei files temporanei del pc.

Ho visto attualmente grossi problemi nell’individuare tutti i sample dai software antivirus. Gli unici che stanno avendo “meno” problemi degli altri sono BitDefender e Panda, grazie alla tecnologia euristica. Ho personalmente provveduto ad aggiungere le signature per tutti i sample che ho a disposizione per Prevx, il quale al momento é l’unico ad individuarli tutti.

Vorrei spendere due parole su alcune cose che mi sono state riportate riguardo questa nuova infezione: questo rootkit non ha niente a che vedere con il vecchio “rootkit” Gromozon, sono due tecniche di infezione completamente differenti.

il vostro kapa :alpc:

Spammer per via "Messaggio Privato"


compare con questo messaggio da parte di un qualsiasi utente infettato nella vostra rubrica di msn

soluzione per chi avesse preso il virus

http://www.pcalsicuro.com/main/?p=47


http://fileinfo.prevx.com/adware/qq...NSTALL.EXE.html

l'ho scaricato, installato ed eseguito. in una prima fase fa una scansione dei malware (i miei erano 70...)

successivamente fa riavviare il computer ed esegue il clean up (di fatto mente in 'cella' tutti i malware trovati).

infine, dopo aver riavviato nuovamente, esegue un'ultima scansione, per eliminare proprio tutto. completati questi passaggi l'icona che si installa nella barra delle applicazioni passa da rosso a verde.

insomma, mi è sembrato ottimo, visto che ha completamente risolto il problema.

il rpogramma è gratis per unmese. io ho acquistato un pacchetto trimestrale per 10 euri, visto l'ottimo lavoro e visto che me la ero vista brutta (è il pc di lavoro...)

Kapa, perchè a me questo programma funziona anche senza alcun tipo di licenza??

bo.. cmq l'ha preso un cliente nel negozio.. ho detto che l'ho preso io per renderlo più credibile

L'unica funzione che sembra disabilitata è il cleanup/protection, ma gli aggiornamenti funzionano.. :think: :think:

be per dire la verità lo avevo installato pure io.. non me lo ricordavo.. cmq lui ti dovrebbe tenere le funzioni basi gratuite invece quelle avanzatre no.. quanti giorni sono già passati?

boh..una quindicina..

kapa89 ha detto:

il rpogramma è gratis per unmese.

Clicca per espandere...

be allora.. sono trenta giorni di prova.. leggi

:think: :think: ppotrebbe essere..tra quindici giorni ti so dire

Attenti al falso Google

Esiste un gemello cattivo di Google Italia che sfrutta i controlli ActiveX per installare uno spyware.

Una minaccia che sfrutta la popolarità di Google si è affacciata alla rete in questi gioni e riguarda proprio la versione italiana del celebre motore di ricerca.

Secondo SurfControl è stato creato un "gemello cattivo" del sito italiano di Google, il cui indirizzo differisce solo per una lettera da quello corretto (tecnica che va sotto il nome di typo-squatting).

In pratica, chi dovesse digitare erroneamente l'indirizzo verrebbe portato verso una pagina identica a quella originale che, nel caso l'utente usi Internet Explorer, tenta di installa un controllo ActiveX.

Se l'installazione avviene (perché l'utente la permette o perché le impostazioni consentono l'installazione in automatico), un trojan imposta come nuova homepage un sito per adulti. Inoltre sul malcapitato Pc fa la comparsa un keylogger che invia le informazioni registrate a un server remoto.

Come al solito, chi usa software che non supporta i controlli ActiveX è al sicuro anche dagli errori di battitura.

perciò... buttate winzozz nel cestino! (e poi cliccate su Svuota)

Gente, contro i programmini rompi balle e ruba password installate questo programma gratuito:
http://www.spybot.info/it/index.html

McDonald regala un player, 10 brani e un trojan

Una iniziativa promozionale McDonald rischia di rivoltarsi contro l'azienda stessa a causa di una ingenuità dalle conseguenze non irrilevanti per l'utenza partecipante. 10.000 player MP3 sarebbero infatti stati distribuiti all'interno di un contest organizzato in co-branding con Coca Cola. Ogni player avrebbe avuto in dotazione, precaricati, 10 brani musicali ed un ospite indesiderato: un trojan.

Fonte originale della notizia è McDonald's Holding Japan ed il tutto viene altresì ripreso in seguito da F-Secure. Secondo quest'ultimo gruppo il trojan in esame sarebbe una variante del cosiddetto QQPass («password-stealing trojan»). Il passaggio del malware sul proprio pc sarebbe possibile semplicemente interconnettendo il player al computer stesso, circostanza questa riportata ma ancora non confermata da F-Secure.

Bella idea quella di postare qui le varie "gabole" che circolano :clap: :clap: ... Chi non è assediato da queste porcherie?