Martedì pomeriggio
Chiama un cliente: “Il computer continua a visualizzare finestre porno, la connessione ADSL continua a bloccarsi, bla bla bla, la banca, le e-mail, io non guardo i porno [NdPS: bello il divx da 55 minuti che ho sequestrato come prova 😛 ], sono innocente, bla bla bla …”
Mercoledì pomeriggio
Arrivo dal cliente: il pc ha Windows2000sp4, il Norton2004 aggiornato con le definizioni dei virus del giorno precedente, ci sono una decina di strane finestre (non del sistema operativo) che avvisano che la connessione ad Internet è stata chiusa, svariate icone del tipo “Incontri” nel menu di Avvio e sul desktop.
Procedo con il mio abituale modus operandi per la depornizzazione:
- Aggiorno l’antivirus
- Scollego Internet
- Controllo che la connessione ADSL non abbia binding strani
- Apro il task manager è uccido tutti i processi con nomi sospetti
- Chiudo tutti i software presenti nella tray bar
- Elimino tutti i file temporanei (sistema operativo ed Internet), cookie e cronologia
- Faccio la scansione completa con l’antivirus
- Elimino da “Installazione applicazioni” tutti i software inutili e/o sospetti
- Controllo le chiavi di registro per verificare quali software ci sono in esecuzione automatica
- Ripulisco le opzioni di Internet Explorer (tipicamente elimino i porno dai siti affidabili)
- Riavvio la macchina e controllo il task manager alla ricerca di infiltrati
- Ricollego Internet, faccio gli aggiornamenti di Windows
- Verifico ed eventualmente aggiorno la JavaVM di Sun
- Installo SpyBot S&D, aggiorno e faccio la scansione completa
- Installo HiJackThis e rimuovo le voci sospette
- Deframmento il disco
Dopo circa 3 ore me ne vado soddisfatto del risultato dell’operazione.
Giovedì pomeriggio
Richiama il cliente, è tornato tutto come prima.
Stavolta ripeto la procedura ma comincio a dubitare dell’antivirus, per cui mi scarico la demo di 30 giorni del NOD32, aggiorno e faccio la scansione con quello.
Non soddisfatto disattivo l’anteprima in quel colabrodo di Outlook Express e metto su un firewall provvisorio (ZoneAlarm).
Venerdì pomeriggio
Ennesima chiamata dal cliente, di nuovo il computer impestato.
Stavolta disinstallo completamente Norton Antivirus ed installo la versione commerciale di NOD32, rifaccio la scansione e ripulisco. Controllo i programmi autorizzati ad uscire nel firewall e scopro che è rispuntato un file exe (chakaisen.exe o qualcosa di simile): sinceramente mi chiedo come sia entrato con antivirus e firewall 😕
Sto per andarmene, quando mi viene il dubbio e chiedo al cliente:
PS: Di preciso, cosa hai fatto dopo che me ne sono andato?
CL: Sono andato su Internet…
PS: Ok, ma dove?
CL: Ho cercato un numero di telefono su Pagine Gialle
PS: Ok, ma hai digitato l’indirizzo?
CL: No, ce l’ho nei preferiti…
Vai a controllare i preferiti e cosa scopri? Tutti gli indirizzi sono stati modificati! Se prima l’indirizzo puntava a http://www.paginegialle.it, ora punta ad un sito (preferiti-windows.com) che fa apparire una barra laterale sulla sinistra, carica il sito originale nella parte destra dello schermo e ti impesta il pc di dialer!
Nel momento in cui ho fatto clic su uno dei preferiti il NOD32 ha cominciato a bestemmiarmi addosso in aramaico: possibile che quella fetecchia del NAV2004 non sia in grado di riconoscere una minaccia del genere? A cosa serve attivare l’autoprotezione e mantenere aggiornate le definizioni dei virus? Evidentemente solo ad appesantire il pc 🙁