Newsgroup: it.discussioni.animali.cani
Titolo: OT: Zoot's Virus ...

... si chiama "Bad Trans".
Come mittente c'è un mittente fittizio (nel caso mio 'Alessandra Bertini'),
l'oggetto o è vuoto o contiene solo "Re:".
Gli allegati sono due: nel caso mio uno col nome "ATT00013.txt" con zero
byte e uno col nome "HUMOR.mp3.scr". Quest'ultimo tenta di autoinstallarsi
quando si apre la mail infettata. Se l'utente alla domanda se si deve
salvare il file sul discho o se si deve eseguire il file dalla posizione
corrente clicca su <OK>, appare una Dialogbox "Install error" con il
contenuto "File data corrupt: probably due to a bad data transmission or bad
disk access".
A questo punto il worm ha installato una backdoor e un keylogger e trasmette
l'indirizzo ip all' autore, il quale tramite la backdoor e il keylogger può
ottenere un accesso illimitato al pc infettato.
Buon divertimento
Wuff



emm io mi sono già divertita :-((
Ciau
Rossella
--
http://digilander.iol.it/rifugio01/
 
http://digilander.iol.it/rifugio01/libri.htm
 

 ottenere un accesso illimitato al pc infettato.
E se invece si chiude semplicemente la finestra e si cestina il tutto? (cioè
se non si salva ne si esegue il file?)
AD

 byte e uno col nome "HUMOR.mp3.scr".
*Questo succede solo al secondo giro, imho....a me è arrivato un file .txt
inviato da "sara". Quello che ho mandato io a Rossella invece era un
mp3...forse lo stesso.
Specifico perché i file .txt sono normalmente considerati innocui: ma è da
quello che parte il tutto (forse ha un'estensione nascosta, boh).
Ciao
Valeria

  scrive:

oggi me lo hanno reinviato circa 10 volte :-((((
ne ho una caterva in quarantena .....
... Mari....................................................
... Official Idac Website........................           
... 
www.millenniumdogs.net
 ................  
... 
http://photo1.millenniumdogs.net
 ...
... 
http://photo2.millenniumdogs.net
 ... 

 ... 
http://photo2.millenniumdogs.net
 ...
 Vorrei chiedere la stessa cosa che ha chiesto AD ovvero se non si apre
niente, ma si a nnulla solamente, cosa succede?Io ho fatto cosi' con Sara e
con gli altri due conseguenti e poi sono andata su un sito dove si trova
l'antivirus , ma mi ha detto che non lo avevo preso. Prima pero' mi e'
arrivata una scritta che blaterava sul kennel(con quante enne?) e non ho
capito niente perche' disgraziatamente non capisco lpinglese e non avevo
tempo di prendere il vocabolario e cercare di capire, dal momento che i
figli erano tutti e due al lavoroGrazie Claudia

 ha scritto nel messaggio
news:Q0HM7.184520$sq5.8...@news.infostrada.it...

Buone notizie: forse sei infettata :-((
Quel 'kennel' non ha niente a che fare coi cani, si tratta invece del
'kernel' di winzzozz che fa parte del nocciolo del sistema. Procurati un
antivirus efficace, aggiornato gli ultimi tre giorni e fai la
disinfestazione ...
Wuff

 ha scritto nel messaggio
news:wByM7.20539$BA4.7...@news1.tin.it...

Sei non hai attivata l'anteprima delle mail, non succede niente. Se l'hai
attivata ... disinfestazione!
Wuff

 Wuff
Come faccio a togliere l'anteprima delle mail ???
:o)
ciao
Silvia & Gusman

 ha scritto nel messaggio
news:9tvnd1$4h1gt$1...@ID-100329.news.dfncis.de...

In OE nella barra del menu aprire la voce <visualizza>, dopo <Layout> e
nella finestra delle impostazioni togliere lo spunto nella casella
"visualizza anteprima del messaggio".
Wuff

 ha scritto nel messaggio
news:9tu92q$4uuc8$1...@ID-47271.news.dfncis.de...
| ... si chiama "Bad Trans".
CUT
.
|
| Buon divertimento
|
| Wuff
|
Cmq il bastardo è facilmente identificabile: se col tasto destro aprite le
proprietà della mail e cliccate su 'dettagli', vedrete nella ultima righa
del header (proprio prima che comincia l'allegato) il seguente:
Content-ID: <EA4DMGBP9p>
Su tutte Bad Trans che ho ricevute sono uguali ...
Wuff

Content-ID: <EA4DMGBP9p>
 OK, ma io sconsiglio a chi non vuol mettere in conto un certo rischio (puo'
essere eccitante! 8-) ), di trastullarsi con preview, tasti destri e tasti
sinistri: a me e' successo, una volta, nel rinominare un virus prima di metterlo
al sicuro, di avere il ditino tremolante e... run!!
 ciao ;-)
	pgg

 pgg
Oggi mi son divertito a vivisezionarlo con un bel DumpHex...:-)))
Skywalker

 ha scritto nel messaggio
news:c9s60uscohm8844s0...@4ax.com...

Vigliacco!    ;-))
No risk, no fun!

Oggi mi son divertito a vivisezionarlo con un bel DumpHex...:-)))
 Bene: che cosa fa l'IP address 149.174.211.5?
 ciao
	pgg

  Bene: che cosa fa l'IP address 149.174.211.5?
mo' lo pingo e vediamo.. :D
Leja che non sapeva di essere su free.it.hackers :))

 disinfestazione ...
Anche io credevo di essere infettato, ma ho provato alcuni antivirus
(aggiornati) e non hanno rilevato niente.

 ha scritto nel messaggio

95.AE.D3.5
Che ne so? L'ho mangiato a pezzetti...
Skywalker :-)))

 byte e uno col nome "HUMOR.mp3.scr". Quest'ultimo tenta di autoinstallarsi
Io li ho ricevuti stasera da un mittente che non conosco "sara di rosa".
Non li ho aperti ma l'anteprima della mail mi si è aperta.
Il Norton antivirus non mi segnala niente!
Che faccio??
Lucia, Zoe e Thelma

 Che faccio?
Controlla che il Norton sia configurato bene... forse non hai attivato
l'eMail scan... e comunque buttala subito, non perderai niente di
interessante...
Leja

Che faccio??
 Con Outlook E. potrebbe bastare l'anteprima...
 Il virus in oggetto ha pochissimi giorni di vita: se il tuo AV non e'
aggiornato dopo il 24 c.m. non lo rileva.
 Un sistema veloce per vedere se si e' attivato e' controllare se nella dir
"windows\system" e' comparso un file "kernel32.exe" (bada: "exe", non "dll",
quello c'e' senz'altro ed e' normale).
 Se lo trovi, lascia il PC acceso e leggi il thread "ATTENZIONE forse virus da
Valeria": ci sono indicazioni utili.
 ciao
	pgg
 

 Bene: che cosa
fa l'IP address 149.174.211.5?
nslookup: 
arl-name-svc-1.compuserve.com
Ciao :o)
Fabrizio
--------------------------------
Inviato via 
http://usenet.iol.it
 

 ha scritto nel messaggio
news:hc370ucukibjjmjra...@4ax.com...

CompuServe Incorporated (COMPUSERVE-HST) 
ARL-NAME-SVC-1.COMPUSERVE.COM
								 149.174.211.5
CompuServe, Inc. (NET-COMPUSERVE) COMPUSERVE	 149.174.0.0 - 149.174.255.255

nslookup: 
arl-name-svc-1.compuserve.com
CompuServe, Inc. (NET-COMPUSERVE)
5000 Arlington Centre Blvd.
Columbus, OH 43220
US
Netname: COMPUSERVE
Netblock: 149.174.0.0 - 149.174.255.255
Coordinator:
Crone, David  (DC411-ARIN)  
hostm...@COMPUSERVE.COM
614-457-8600
 (FAX) 
614-457-0348
Domain System inverse mapping provided by:
ARL-NAME-SVC-1.COMPUSERVE.COM149.174.211.5
DUB-NAME-SVC-1.COMPUSERVE.COM149.174.213.5
ciao  8-Ş~
	pgg

 interessante...
Se è per quello l'ho già buttate via da un pezzo!!!
Non apro mai niente da mittenti sconosciuti e con allegati!! ;-))
Lucia, Zoe e Thelma

 pgg
aaaaahahhahahahahahh!!! C'č,....... c'č il malefico "kernel32.exe".....
adesso vado a vedere il thread che mi dici.......
grazie
Lucia, Zoe e Thelma


To: 
horu...@ciaoweb.it
Subject: Pesciolino
uahahha 389Kb di file (pesciolino.zip.pif :-) e uno non se ne accorge della
spedizione??
Skywalker

adesso vado a vedere il thread che mi dici.......
 Sinora e' solo "pronto all'uso": al prossimo avvio del PC avviene l'attivazione
vera e propria, quindi devi cancellare il malefico *prima*: da Windows non te lo
consente perche' lo riconosce "in uso", quindi devi fare "Riavvia in modalita'
MSDOS" e deletarlo da li'.
 Ci sarebbe anche da cancellare la voce "kernel32.exe" dal Registro di
Configurazione, se te la senti di smanettare...
 ciao
	pgg

 ha scritto nel messaggio
news:p%MM7.22352$4M2.5...@news2.tin.it...


 pgg
Ho aggiornato il Norton. mi segnala due file infetti da badtrans e credo me
li metta in quarantena. Sta ancora facendo la scansione.
Mi dici come si fa da DOS, è una vita che non uso più i comandi di dos. mi
ricordo dir/p per vedere le directory e i comandi per entrare nelle dir.
Per cancellare  si faceva "del" qualcosa.
Mi aiuti???
Lucia, Zoe e Thelma

Mi aiuti???
 Volontieri!  Infatti avevo scritto "deletarlo" per rinfrescarti la memoria... 
 Rapido: se in DOS ti ritrovi nella dir Windows
 C:\WINDOWS> cd system
 C:\WINDOWS\SYSTEM> dir ker*
  blablablablablablablablablablablabla
  KERNEL32.DLL     ecc ecc
  KERNEL32.EXE     ecc ecc
 C:\WINDOWS\SYSTEM> del kernel32.exe      
 C:\WINDOWS\SYSTEM> dir ker*
  blablablablablablablablablablablabla
  KERNEL32.DLL     ecc ecc
   Fatto! NB: i "dir" sono ovviamente solo per controllo e si possono omettere.
  ciao
	pgg

 pgg
Non me li mette neanche in quarantena!!!
Cos'è il registro di configurazione??
Se mi spieghi, io capisco in fretta, magari se sei in linea. mandami le
istruzioni via email (subito!!)
Grazie

istruzioni via email (subito!!)
 Immantinente!
	pgg


Grazie sei piů veloce della luce!!!!
Adesso mi manaca il famoso registro.
Perň prima di beccarci un insultona dal niusgruppe,
forse č meglio che quelle istruzioni me le mandi per e-mail
Lucia


forse è meglio che quelle istruzioni me le mandi per e-mail
 Mah, non ritengo sia un OT da cazziatone, comunque ti ho emailato, anche
perche' smanettare il Registro e' piuttosto delicato... non vorrei avere sulla
coscienza lo svaccamento di qualche PC!  ;-)  Se qualcuno volesse info puo'
emailarmi (tenendo presente che non sono un superesperto...).
 Siccome per l'email ho sfruttato un giro un po' strano, avvisami se non ti
fosse arrivata.
 ciao
	pgg


wrote:

cestina e aggiorna norton
Rossella
--
http://digilander.iol.it/rifugio01/
 
http://digilander.iol.it/rifugio01/libri.htm
 


Figurati che quelli che sono arrivati a me risultano senza allegati.....
meno male che il vostro tam tam mi ha fatto aggiornare il norton e me li ha 
beccati al volo :o))
-- 
la Dany
"I do not know If dogs go to Heaven-But I do not want to go to any Heaven 
Where there are no dogs" 
***************************************
http://www.americanstaffordshire.it
http://www.anywarenet.it/amstaff
http://www.aittb.it
http://www.anytelmi.it/terbra
**************************************
scaccia le pulci per rispondere in e-mail

quello che parte il tutto (forse ha un'estensione nascosta, boh).
 Bingo! Ha una doppia estensione, la prima innocua (come txt, doc, jpg, mp3)
e la seconda eseguibile (che non e' solo exe, ma anche com, scr, pif): di
default Windows non mostra le estensioni, quindi appare solo la prima, che
non e' una vera estensione.
 Io consiglio sempre di configurare "Visualizza" --> "Opzioni Cartella" -->
"Visualizza" come "Mostra tutti i file" e *NON* "Nascondi le estensioni dei
file per i tipi di file conosciuti".  Questo comunque non da' la sicurezza
assoluta: i file ".pif", ad esempio, non mostrano l'estensione reale, ma
solo l'eventuale fittizia.
 ciao
	pgg