Olimpo Informatico

[bdoriano]

Ciao a tutti,

oggi pomeriggio, mentre facevo delle ricerche con Google, mi è capitato un tentativo di infezione.
Uno dei siti che stavo aprendo (con IE7) mi ha reindirizzato su un'altra pagina e ha tentato di installarmi un programmino malefico.

All'inizio, si è presentato il seguente avviso:


Subito dopo, nel browser, è comparsa questa finestra:


che simulava una scansione in corso (notare le diciture in inglese su Windows in italiano... )
e, dopo qualche secondo, è comparso quest'altro messaggio:


Cliccando sul bottone Erase all threats viene scaricato un programmino di circa 68KB nominato SystemGuard2009.exe che, al momento del download, il mio antivirus non ha riconosciuto.

Giunto a casa, ho aggiornato l'antivirus e il file scaricato viene prontamente segnalato.

Ho inviato a VirusTotal il suddetto file. (clicca qui per il risultato della scansione)
Per il momento, solo 9 antivirus lo riconoscono come pericoloso/sospetto. (Antivir, CAT-QuickHeal, eSafe, Microsoft, NOD32, Panda, Prevx1, Rising, SecureWeb-Gateway)

Mi raccomando, NON CASCATECI!!!

PS: appena possibile, farò delle prove con un pc virtuale per analizzarlo meglio.

[bdoriano]

Ok, ho fatto un'analisi "preliminare" del soggetto...

In fase di "installazione", vengono scaricati ed eseguiti 3 programmi:

• C:\Documents and Settings\All Users\Application Data\Microsoft\Network\svchost.exe
  
• C:\Programmi\System Guard 2009\systemguard.exe
  
• C:\WINDOWS\system32\winscenter.exe

Dopo un riavvio del PC (voluto), ho riscontrato le seguenti modifiche al registro:

• HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
  systemguard c:\programmi\system guard 2009\systemguard.exe
  
  
• HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad
  ieModule c:\documents and settings\all users\application data\microsoft\network\dlls\iemodule.dll
  InternetConnection c:\documents and settings\all users\application data\microsoft\network\dlls\lmwfctqnrm.dll
  
  
• HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall
  [Uninstall\System Guard 2009]
  "DisplayName"="System Guard 2009"
  "UninstallString"="C:\Programmi\System Guard 2009\uninstall.exe"

Inoltre, sono presenti i seguenti files:

• C:\WINDOWS\syscert.exe
  
• C:\WINDOWS\sys.com
  
• C:\WINDOWS\reged.exe
  
• C:\WINDOWS\vmreg.dll
  
• C:\WINDOWS\spoolsystem.exe
  
• C:\WINDOWS\sysexplorer.exe
  
• C:\WINDOWS\system32\winscenter.exe
  
• C:\Documents and Settings\All Users\Application Data\winlogon.exe
  
• C:\Documents and Settings\All Users\Application Data\Microsoft\Network\svchost.exe
  
• C:\Documents and Settings\All Users\Application Data\Microsoft\Network\track.sys
  
• C:\Documents and Settings\All Users\Application Data\Microsoft\Network\DLLs\c.cgm

[bdoriano]

Sul PC utilizzato per l'"infezione" avevo già pre-installato sia MBAM che SuperAntiSpyware.

Il risultato della scansione con MBAM: