Newsgroup: it.comp.giochi.rpg
Titolo: Importante vi prego di leggere

Mi e' arrivata una protesta da un ragazzo del ng (Maurizio Veronesi) che
afferma che io, tramite e-mail, gli abbia mandato un virus che ha come nome
"Happy99.exe" non avevo (e non ho nemmeno ora) nessun motivo di mandargli
virus o di danneggiare in qualunque modo la sua casella e-mail o quella di
chicchessia, qualcuno che sa qualcosa riguardo questo "happy99" potrebbe
spiegarmi?
Cioe' mi spiego meglio... ho scritto un'e-mail a questo ragazzo senza nessun
allegato pero' lui sostiene che nell'allegato c'era appunto questo
happy99... e' possibile che per qualche inspiegabile fenomeno sia successo?
Cioe' che un virus (presumo dal mio pc) ogni volta che mando e-mail si
inserisca automaticamente nell'allegato? E' la prima volta che mi accade...
ho mandato materiale di bg a molte persone qui nel ng (hot, kadath, meihua e
molti altri) ed e' la prima volta che sento lamentele del genere :-((( ma e'
anche la prima volta che sento parlare di questo happy99.exe fino a quando
non si chiarira' questo fatto non mandero' e-mail a nessuno per evitare
danni... vi prego di farmi capire
Ciao, Lorenzo
merge...@iol.it

inserisca automaticamente nell'allegato?
E' ESATTAMENTE cosi'...tu ti sei beccato il virus e adesso quello si
inserisce come attachement in OGNI mail che invii (automaticamente e a tua
insaputa ovviamente)...e' proprio la caratteristica di HAPPY 99...
(ma davvero non lo avevi mai sentito..negli ultimi mesi messaggi di allarme
tipo il tuo sono comparsi OVUNQUE?!)
Non ho idea di come fare a rimuoverlo...un qualsiasi antivirus aggiornato
dovrebbe andare tranquillamente, anche se so che qualcuno l'ha rimosso
addirittura manualmente intervenendo nel registro di WIN...
(non e' molto pericoloso come virus...non ti danneggia' file o robe simili,
fa solo quello che hai gia' visto...)
Comunque lo puoi beccare solo se hai eseguito un happy99.exe che ti era
arrivato precedentemente via mail...sei FUORI ad eseguire file di cui non
sai bene la provenienza?!?!?!
Saluti!  ^_^
--
   _/_/_/        Dimer Camparini        _/_/_/
  _/_/_/     Reggio Emilia - ITALY     _/_/_/
 _/_/_/         
di...@tin.it
          _/_/_/
_/_/_/ UIN:1645559 - Nickname:Ciccio _/_/_/

 spiegarmi?
Eccomi qua...
È un virus che attacca esclusivamente  gli utilizzatori di Outlook Express...
(.... :-) ) e si serve della rubrica dello stesso per inviare mail con allegato
il virus sotto forma di un programmino in allegato. Per rimuoverlo segui le
istruzioni che ti riporto qui di seguito. Sono prese dal news:
it.comp.sicurezza.virus
Chi non segue questo news si perde qualcosa di veramente utile.... Salutoni.
***** Future Time di Paolo Monti © 1999 *****
Questo è il primo, moderno Internet worm ("verme") conosciuto ad
essere scoperto "in the wild" (diffuso). Questo
worm dei computer è una sorta di programma virus che per diffondersi
non infetta dei file ma invece usa come vettore
le e-mail spedite via Internet, inserendo in allegato alle e-mail una
copia di se stesso.
Il worm è stato spedito da qualcuno (forse il suo stesso autore) su
diversi server di notizie (Usenet newsgroups) nel
gennaio 1999; in pochi giorni si è diffuso a macchia d'olio in Europa
e continua a diffondersi rapidamente.
Il worm arriva agli utenti come allegato alle e-mail, nella forma di
un file eseguibile con il nome HAPPY99.EXE. Allo
scopo di dissimulare la sua vera natura, quando viene eseguito il
worm mostra sullo schermo un simpatico effetto;
dunque, si può affermare che presenta anche le caratteristiche
tipiche di un cavallo di troia.
Nel corso dell'esecuzione, il worm si installa nel computer,
intercettando delle chiamate di sistema che gli consentono
di monitorare l'invio di e-mail su Internet; quindi converte una
copia di se stesso come allegato binario alle e-mail che
vengono spedite.
Quando si installa, il worm modifica soltanto dei file che risiedono
nella cartella di sistema di Windows. In tale cartella
crea i file SKA.EXE e SKA.DLL, copia il file WSOCK32.DLL nel file
WSOCK32.SKA e modifica la libreria
originale WSOCK32.DLL allo scopo di intercettare l'invio di e-mail.
Rimozione e Protezione
Se il worm viene identificato sul proprio sistema, la sua
eliminazione è semplice e non costituisce un problema. Basta
cancellare i file SKA.EXE e SKA.DLL dalla cartella di sistema. E'
anche necessario ripristinare il file originale
WSOCK32.DLL, cancellando il file WSOCK32.DLL modificato dal worm e
quindi rinominando il file
WSOCK32.SKA in WSOCK32.DLL. Anche il file HAPPY99.EXE dovrebbe essere
localizzato e cancellato.
Per proteggere il proprio computer da una nuova, possibile infezione
da parte del worm è sufficiente impostare gli
attributi di sola lettura del file WSOCK32.DLL. Il worm, infatti, non
prevede alcuna gestione dell'attributo di sola
lettura e quando tenta di modificare un file WSOCK32.DLL che possiede
tale attributo fallisce nell'operazione.
Alcuni consigli
Non aprire ed eseguire un eventuale file HAPPY99.EXE ricevuto in
allegato ad una o più e-mail. Anche se questo
proviene da fonti di cui si ha fiducia. E' anche necessario ricordare
che i file prelevati da Internet possono sempre
contenere del codice pericoloso, capace di infettare il proprio
computer, compromettere dei dati, inviare informazioni
confidenziali su Internet o installare dei programmi-spia capaci di
monitorare il computer in remoto (backdoor). Quindi
è sempre necessario prendere delle opportune precauzioni quando si
preleva ed installa del software ricevuto via
e-mail.
L'apertura di documenti Office con la protezione dai virus
disabilitata e l'esecuzione di programmi sono operazioni
molto rischiose. E' necessario ricordare sempre questo principio ogni
volta che si trova un allegato nella propria posta
elettronica.
Dettagli tecnici
Il worm si presenta come un file di nome HAPPY99.EXE, lungo
esattamente 10.000 byte.
Il file possiede una struttura interna del tipo Portable Executable
(PE), ovvero è un programma a 32-bit per Windows.
Il worm si installa in sistemi Win95/98 e continua a diffondersi
senza alcun problema. Invece, a causa di errore di
programma (bug), sotto Windows NT non è capace di diffondersi.
Il worm contiene delle stringhe di testo, alcune delle quali si
presentano in forma cifrata:
Is it a virus, a worm, a trojan? MOUT-MOUT Hybrid (c) Spanska 1999.
Happy New Year 1999 !!
\Ska.exe \liste.ska
\wsock32.dll \Ska.dll \Ska.exe
Quando il file HAPPY99.EXE viene eseguito, il worm copia se stesso
nella cartella di sistema di Windows con il
nome SKA.EXE e crea nella stessa cartella il file SKA.DLL.
Quest'ultimo file è conservato in forma cifrata e
compressa all'interno del file HAPPY99.EXE.
Il worm duplica il file WSOCK32.DLL, usando il nome WSOCK32.SKA e
quindi modifica il file WSOCK32.DLL
originale. Se il file WSOCK32.DLL è in uso da parte di qualche
applicativo e non può essere aperto in scrittura, il
worm crea una nuova chiave nel Registro di sistema allo scopo di far
eseguire automaticamente il file SKA.EXE al
prossimo riavvio di Windows:
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnce=SKA.EXE
La modifica effettuata all'interno del file WSOCK32.DLL consiste
nella creazione di una routine di inizializzazione e
nella redirezione di due funzioni esportate dalla libreria dinamica.
La routine di inizializzazione è rappresentata da un ridotto numero
di istruzioni (202 byte). Essa viene salvata alla fine
del sezione di codice presente in WSOCK32.DLL (la sezione ".text").
Il file WSOCK32.DLL possiede abbastanza
spazio per l'aggiunta di tale codice e dunque la grandezza della DLL
non aumenta in seguito alla modifica operata dal
worm. Quindi il worm modifica la "export table" della libreria
WSOCK32.DLL, in modo tale che le due funzioni
"connect" e "send" puntino alla routine di inizializzazione del worm,
posta alla fine della sezione di codice presente nel
file WSOCK32.DLL.
Quando l'utente si collega ad Internet la libreria dinamica
WSOCK32.DLL viene attivata e il worm ha l'opportunità di
intercettare due eventi: connessione e invio di dati. Il worm
monitorizza le porte 25 e 119, relative alla spedizione di
e-mail (SMTP) e di "news" (NTTP). Quando individua una connessione
attiva su una di tali porte, il worm carica in
memoria la libreria dinamica SKA.DLL che esporta due funzioni: "mail"
e "news". A seconda del numero di porta, il
worm chiama una delle due routine, ma entrambe hanno la funzione di
creare un nuovo messaggio, di inserire in
allegato il worm trattato con l'algoritmo UUENCODE e quindi di
spedire tale messaggio. Inoltre, il worm inserisce
anche una sua particolare "firma" nell'intestazione dei messaggi
"infetti":
X-Spanska: Yes
Mentre spedisce i messaggi che contengono il worm allegato, il worm
memorizza l'indirizzo del ricevente nel file
LISTE.SKA, anch'esso creato nella cartella di sistema di Windows.
Questo file può contenere fino ad un massimo di
5KB di dati e fino a 200 indirizzi presso i quali sono stati spediti
dei messaggi aventi il worm in allegato.


Beh, non e' proprio vero che sui NG, non arriva, un paio di mesi fa,
quando c'era l'epidemia di happy 99 arrivavano anche un bel po' di
messaggi con l'attachment
--------------------------------------------------------------
Daniele Foa'	      Kadath Dragon
df...@iol.it
                 -==UDIC==-
ICQ#: 9716157             IAFo #13
Close my eyes and hold so tightly
 scared of what the morning brings
 Deep inside the empty feeling
 all the night time leaves me...
--------------------------------------------------------------