Trojan.Spambot - quarta variante
Isolata oggi la quarta variante del Trojan.Spambot. Ringrazio l’utente Matteo_GMG per la segnalazione.
Prevx1 identifica e rimuove anche questa quarta variante.
32 Responses to “Trojan.Spambot - quarta variante”
Lascia un commento
Next: Gli avvocati di moda »
francesco
Dicembre 5th, 2006 at 20:24
anche questa tutta italiana ! E continuano ad arrivarmi segnalazioni di persone che abboccano alla grande, anche persone che dovrebbero essere avvezze alla cosa.
Confermatemi però la cosa: l’infezione avviene SOLO se si lancia il remover_tool, giusto ? non ci sono exploit visitando il sito !?
Marco
Dicembre 5th, 2006 at 20:31
Nessun exploit al momento
maverick
Dicembre 6th, 2006 at 00:37
Ma un DoS contro l’host no?
.
Questi cambiano il file ogni giorno.
Marco
Dicembre 6th, 2006 at 00:42
:D
bella idea 
maverick
Dicembre 6th, 2006 at 00:50
Secondo me pure a natale ne mettono uno nuovo
Stanno rompendo un po’ troppo comunque ed anche rischiando abbastanza.
maverick
Dicembre 6th, 2006 at 10:03
Elenco domini
www.adwaredestroyer.biz
www.adwarezap.biz
www.adwarewipe.biz
www.cleanyourpc.biz
www.free-spyware-killer-software.biz
www.killmalaware.biz
www.mycleanpc.biz
www.notmorespyware.biz
www.personalspywareremover.biz
www.privacywall.biz
www.protectyourpc.biz
www.safemaster.biz
www.SpyProductKiller.biz
www.SpyStuffKiller.biz
www.TenKillerDirect.biz
www.watchwareassassin.biz
quakcuno non è attivo credo
francesco
Dicembre 6th, 2006 at 11:26
STRANISSIMO:
il 2 dicembre ho scaricato alcuni campioni di questo removal_tool, quando ancora non veniva riconosciuto, ma mi sono guardato bene dal mandarlo in esecuzione. Oggi, all’accensione il mio antivirus (trend micro officescan) mi trova in W:\System Volume Information\_restore{…}\RP114\A0018580.exe il TROJ_AGENT.HDX.
(il download l’ho fatto con wget !)
Il programma non è installato ma sto exe….. da dove sbuca ? perché sta in _restore ? e su W:, il disco dove avevo salvato il file infetto ?
Ricky76
Dicembre 6th, 2006 at 11:49
Francesco, non preoccuparti, se non l’hai eseguito, il file si trova sulla cartella “restore” di Windows perchè è finito nei file temporanei di internet explorer e probabilmente dopo aver creato un punto di ripristino ( manuale o automatico ) il file è stato spostato sulla cartella “restore”, credo che venga conservato anche il contenuto del cestino.
Per essere sicuro di non avere più copie dei virus su disco, la prossima volta ricordati di cancellare anche i punti di ripristino o disabilitare temporaneamente la suddetta funzione.
francesco
Dicembre 6th, 2006 at 12:19
Il dubbio mi deriva proprio dal fatto di NON averlo scaricato da browser ! l’ho scaricato con wget su una macchina linux e poi copiato con scp sulla mia.
Non conosco XP e questa directory potrebbe essere quella del “cestino”…. ma perché gli avrebbe cambiato il nome in A00….exe ?
Marco
Dicembre 6th, 2006 at 12:31
Nel cestino i files vengono rinominati, è normale
GmG
Dicembre 6th, 2006 at 14:42
Altri domini
www.adwarestoper.com
www.nowimprotected.com
www.protect-corp.biz
www.spywareexecutioner.com
www.spywarekillersite.com
Andrea
Dicembre 7th, 2006 at 00:33
Non riesco a rimuovere la WEBDESK.DLL neppure utilizzando l’apposito tool di NOD32, o altri antivirus tipo Kaspersky che pur riconoscono il trojan. Che debbo fare. Va rimossa quasta dll oppure si può lasciare in giro?
Grazie
Marco
Dicembre 7th, 2006 at 00:41
Provato con Prevx1? Altrimenti si può anche agire manualmente
steven
Dicembre 7th, 2006 at 08:33
Ciao ragazzi….
quando si annuncia l’uscita di una nuova variante , credo che la minima cosa sia quella di dire di che si tratta … è fin troppo facile dire:
“Isolata oggi la quarta variante del Trojan.Spambot. Ringrazio l’utente Matteo_GMG per la segnalazione”
Chi lo ha stabilito che è una nuova variante spambot ?
Qual’è la differenza tra la terza e la quarta variante ?
Quali modifiche sono state apportate a questa variante?
etc…etc….
Marco
Dicembre 7th, 2006 at 09:45
Solitamente quando una variante é differente dalla prima, dalla seconda e dalla terza io la definisco nuova variante
Detto questo, ma perché vi ponete sempre con stile critico? “la minima cosa” “é fin troppo facile” “chi lo ha stabilito”
Insomma, scusate, non ci si potrebbe rimanere male a leggere determinati commenti?
Anche perché un’analisi tecnica avanzata di questo trojan giá c’é, se non ho scritto molti altri dettagli evidentemente non c’é tutta questa grande differenza, giusto il minimo indispensabile per evitare di essere di nuovo riconosciuto dai software antivirus.
Se poi aggiungi che giusto ieri sono nate molte critiche perché avevo scritto un’analisi troppo dettagliata del trojan
Lucass
Dicembre 7th, 2006 at 12:38
Ti scarichi il file è lo vedi.
le prime 2 erano compresse tramite upx,le ultime 2 con exe32pack.
“Qual’è la differenza tra la terza e la quarta variante ?”
MD5 e Sha1 e mi pare qualche byte nelle dimensioni.
Ciao
Lucass
Dicembre 7th, 2006 at 12:46
“Se poi aggiungi che giusto ieri sono nate molte critiche…………”
L’altro ieri,stai perdendo la cognizione del tempo,lollarone!!!!
Marco
Dicembre 7th, 2006 at 12:48
…che, in effetti, é un particolare fondamentale eh
Lucass
Dicembre 7th, 2006 at 12:57
direi VITALE!!!
E’ ancora + facile non dire niente,tanto l’importante è che io so la differenza,poi,che gli altri non lo sanno fatti loro,chi si accontenta gode……
Marco
Dicembre 7th, 2006 at 13:00
va bene va bene, ok
Lucass
Dicembre 7th, 2006 at 13:03
Sto rispondendo a Steven.
Bye
Marco
Dicembre 7th, 2006 at 13:04
ah ma io il particolare mi riferivo al giorno, non all’MD5/SHA1 e quello che avevi detto tu sopra :\ In tal caso scusa, non avevo capito bene il riferimento. Il commento tuo iniziale della differenza tra terza e quarta variante era giusto
Sorry
Lucass
Dicembre 7th, 2006 at 13:12
anche io mi riferivo al giorno(Direi Vitale)
Poi ho risposto nuovamente a Steven
Ciao
Gianluca
Francesco
Dicembre 7th, 2006 at 15:14
Il motivo dello stile critico? perchè sei famoso, un punto di riferimento per molti, e quindi tanti “wannabe” puntano sul sezionare ciò che dici nel minimo dettaglio pur di coglierti in fallo… Guarda solo quello che è successo a Paolo Attivissimo con la questione “11 settembre”…
Lucass
Dicembre 7th, 2006 at 15:19
Ma qui non si parla di attentati,si parla di malware,il discorso è diverso,poi cosa gli è successo?posso solo immaginare.
Ciao
steven
Dicembre 7th, 2006 at 16:24
ciao,
la critica, da che mondo è mondo è sempre esistita , e aggiungo anche, che grazie a quest’ultima ,si migliora e si avanza nella vita ….
Chiusa questa piccola parentesi , vorrei aggiungere che noto con dispiacere, che c’è qualcuno che ancora non ha perso il difetto di essere presuntuoso, e spiego anche il perchè;
Non credo che tutti siano esperti e del “mestiere” per scaricarsi il file e analizzarlo, quindi mi sembra completamente fuori luogo come risposta quella data da te Lucas… ma non mi meraviglia piu di tanto….
@Marco: Le mie non erano critiche, ma piuttosto riflessioni, e ti assicuro che non sono stato l’unico a farle, ma se le trovi fuori luogo , basta non prenderle in considerazione…..
Ho già avuto modo di dirti che fai un lavoro straordinario in questo campo ,ed è forse proprio per quello che mi sono meravigliato della magra descrizione sull’argomento in questione….
Buon pomeriggio
Marco
Dicembre 7th, 2006 at 16:38
Ciao Steven,
mi dispiace se te la sei presa a male. Ovviamente non voleva essere offensivo il mio commento. Solo che lo stile con cui avevi scritto quel post sembrava più da critica “distruttiva” che critica “costruttiva”
E’ che spesso, come avevo già detto in altro loco, non conta solo cosa si dice ma anche come lo si dice. Se in caso mi sono sbagliato, ovviamente, scusami…di mattina presto potrei aver benissimo equivocato 
Comunque, l’analisi tecnica è sostanzialmente è la stessa che avevo fatto giorni fa, come ti avevo scritto sopra. Sono cambiate alcune caratteristiche, praticamente che non toccano il funzionamento stesso del trojan ma che servono a rendere il malware irriconoscibile ai software antivirus che non utilizzano degli unpacker per exe32pack e basano le proprie signature sulla versione compressa del trojan.
Spero che così sia magari un po più chiaro e aiuti di piu la comprensione
Buon pomeriggio!
Marco
TNT
Dicembre 7th, 2006 at 18:36
Quinta variante oggi…
steven
Dicembre 7th, 2006 at 21:32
e si mo facciamo tombola…
Marco: ti ripeto ; la mia era solo una constatazione … tu cosa penseresti se domani mattina leggi su un forum :
nuova variante gromozon in circolazione…..grazie a caio per la seganalazione .
Lucass
Dicembre 7th, 2006 at 23:45
Sono Lucass no Lucas,una s cambia molto,la risposta che ti ho dato,l’ho data apposta perchè purtroppo so chi sei.
Ciao
steven
Dicembre 8th, 2006 at 14:30
L’italiano è un optional per te …quindi anche se non lo scrivi proprio il tuo nome, si capisce lo stesso chi sei….figurati se una “s” avrebbe potuto renderti irriconoscibile …
Lucass
Dicembre 8th, 2006 at 14:42
Si è un optional,sai quello che penso di te,non mi voglio ripetere.
Ciao