Newsgroup: it.discussioni.animali.cani
Titolo: ATTENZIONE forse virus da Valeria

Mi è appena arrivato un messaggio stranissimo da valeria. Solo
allegati  (strani che non ho aperto) indirizzo che è simil vero ma non
vero e nel tentativo di reply il firewall che mi segnala un tentativo
del mio pc a connettersi a un server russo...
Quindi se vi arriva qualcosa di simile da valeria non aprite
l'allegato... fino a che nn si sarà fatta chiarezza.
Pgg, sky e compagnia se volete visionare il campioncino ve lo inoltro
:-)
Rossella
--
http://digilander.iol.it/rifugio01/
 
http://digilander.iol.it/rifugio01/libri.htm
 

:-)
 Per quel che mi riguarda, manda pure: l'ideale sarebbe spedire il tutto,
compresi gli header completi.
 ciao
	pgg



mando.. l'ho beccato.. è in quarantena.. stò salvando tutto e poi lo
levo


mando.. l'ho beccato.. è in quarantena.. stò salvando tutto e poi lo levo
 Purtroppo adesso sto scrivendo da un PC non "attrezzato" (antivirus
aggiornato ad alcuni *mesi* fa, quindi utilita' prossima allo zero...): non
ha battuto ciglio, ma sicuramente il file "fun.mp3" non la racconta giusta,
perche' in realta' ha una doppia estensione: fun.mp3.pif", quindi sotto le
mentite spoglie di un file musicale si nasconde un eseguibile... forse un
virus "sircam", o forse un "magistr" (pero' e' un po' piccolo...), comunque
entrambi "cattivi": fanno danni al PC.  Cancellare senza indugio.
 ciao
	pgg



si nasconde codesto
http://securityresponse.symantec.com/avcenter/venc/data/w32.bad...@mm.html
uscito ieri... io ho aggiornato l'antivirus ieri si vede che la toppa
all'ora che l'ho aggiornato io non c'era ancora (questa è sfiga!!!!!!)
e l'ho beccato. A stò punto è in quarantena si è appropriato del
kernel 32 qualchecosa e di una relativa dll E' irriparabile e occorre
rimuovere i files infestati e sostituirli con gli originali. Il che,
secondo il "maestro" (sky) equivale a fare una bella
reinstallazione... sigh.. ho salvato tutti i documenti.. non ditemi
che perdo tutto... 
se leggi il link parla di una chiave nel registro. Come si fa? cioè io
la rimuovo semplicemente e poi si ricrea quando reinstallo? 
altre idee?


 uscito ieri...
*Allora...il virus è proprio quello: io l'ho beccato da una mail con
mittente Sara (che conosco) che conteneva un file .txt...vuoto.
Probabilmente aveva una doppia estensione nascosta :-(((
Il virus è di ieri, e quindi è un casino beccarlo se l'antivirus non è
aggiornato a OGGI: la pericolosità è bassa (in pratica non fa niente, se non
provare a connetterti a un server RUSSO) ma la diffusione è velocissima.
Io l'ho tenuto "attivo" per circa 5 minuti prima di sentire Ross, e già
avevo appestato una decina di PC :-(((
Sara a sua volta ha appestato un po' di amici suoi...e avanti così.
Sull'URL mandato da Ross ci sono le istruzioni da seguire: la chiave del
registro indicata non si trova perché probabilmente l'antivirus (almeno il
Norton) la toglie quando elimini i file.
Io adesso ho rifatto la scansione e non c'è più traccia del bastardo.
Lo streghetto mi suggerisce di eliminare anche i files TEMP perché il virus
potrebbe essersi annidato lì e "rigenerarsi"
Chiedo scusa a chi avessi eventualmente appestato...non apro mai un tubo di
niente, ma un file .txt da un mittente noto mi sembrava assolutamente
innocuo. SIGH!
:-((((
Valeria

 ha scritto nel messaggio

TI ho mandato una email. Se è solo una chiave del registro, non hai bisogno
di sovrascrivere il KERNEL.
Ciao,
Skywalker


grazie :-)) risolvemmo :-))))))))) mi sento come la vispa teresa...
che bello ho il computer a posto... trallallą....
Rossella
Ps. Scusate l'euforia ma sono sbiancata di brutto... e' il secondo
virus che acchiappo in vita mia.. il primo ai tempi del Dos... ne
ricrdo ancora il nome... "cascade" 


di sovrascrivere il KERNEL.
 Finito il programma sui "fatti di Genova" che stavo seguendo in TV ho dato
un'occhiata al file che mi ha mandato Rossella: fa riferimento ai file
KERNEL32.DLL,  ADVAPI32.dll,  MSVCRT.dll,  USER32.dll  e WSOCK32.dll, per
cui pensavo che al solito sovrascrivesse alcuni file di sistema per
intercettare le chiamate al socket (fra l'altro mi pare faccia una chiamata
all'IP address 149.174.211.5 : sara' il sito russo?), invece sul sito della
Symantec riportato parla di un file KERNEL32.EXE, quindi di un file creato
ex novo: sembrerebbe che basti eliminare questo e la chiave del registro...
 Mah, speriamo che domattina ci siano in rete gli aggiornamenti dell'AV
usato in ditta, senno' mi aspetta una brutta giornata!  8-(
 Ho dato adesso una scorsa al NG sui virus, ma a parte il rimando al sito
della Symantec ho trovato solo questo programmino:
http://digilander.iol.it/egatto79/marcolfa/BadDharma.vbs
 L'autore e' un esperto di virus ed antivirus: la cosa dovrebbe funzionare,
ma solo su W95, W98 e ME.
 ciao
	pgg
 

 
http://digilander.iol.it/egatto79/marcolfa/BadDharma.vbs
Orribile ricordo di tutto quello che e' .vbs :o((
Sigg....e' un *.vbs che mi ha fuso l'hard disk....RI-SIGGG :o((((
--
Veronica
"Imagine all the people
living life in peace..."
John Lennon

Sigg....e' un *.vbs che mi ha fuso l'hard disk....RI-SIGGG :o((((
 *Fuso* l'HD?!  Intendi che ti ha scombussolato i dati, immagino... non mi
risulta ci sia un codice in grado di danneggiare fisicamente i dischi!
 Comunque l'estensione "vbs" indica uno script Visual Basic, che non
necessariamente fa dei danni... se fai un search sul tuo HD e' facile che ne
trovi qualcuno, ma non c'e' motivo di allarmarsi!   8-)
 ciao  ;-)
	pgg

 pgg
Immagino....ma sorry...sono traumatizzata :oP
Non riuscivo neanche piu' a scrivere la parola virus.....ti immagini 7 anni
di documenti, foto, programmi....tutto rigorosamente non salvato da nessuna
parte (foto dei cuccioli e di cani che non ci sono piu')...se non sull'hd
fuso??


ex novo: sembrerebbe che basti eliminare questo e la chiave del registro...
 Allora: ho provato a lanciare il file!  (chissenefrega, tanto mica ho
autlucco!  >8->).
 Oltre al file kernel32.exe (29 KB) e la relativa chiave di registro in
HKEY_LOCAL_MACHINE
Software
Microsoft
Windows
CurrentVersion
RunOnce
ha creato anche un file "kdll.dll", anche questo in windows\system: e' lungo
5632 byte, ed essendo una libreria non dovrebbe far danni, lasciato da solo,
comunque meglio toglierlo. La cancellazione dei 2 file va fatta da DOS.
 'notte
	pgg

ha creato anche un file "kdll.dll", anche questo in windows\system: e' lungo
 Ulteriore aggiornamento: sul sito svizzero dell'AVP questo virus e'
spiegato in dettaglio: pare che tenga traccia in un file
windows\system\protocol.dll delle email spedite, per evitare di mandarne 2
volte alla stessa persona (che gentile!). Io questo file non ce l'ho (non ho
attivato il processo), ho invece un "CP_25389.NLS", ma sembra del tutto
innocuo.
 ri'notte
	pgg

 ha scritto nel messaggio
news:t4930u4n88ou77e31...@4ax.com...



"Sara" ci ha provato anche con me, post vuoto con allegato. Tra l'altro
appena lo selezioni ti propone subito di scaricare l'allegato, lasciando
incompleta la finestra "esegui/salva".
Seccato subito, anche da "posta eliminata"
Voi streghe le vostre pozioni controllatele un pò meglio, accidenti:-)))))
Ciao
--
---------------
Claudio & Skyppy

sono!!! ]]]:-|
 Comunque pare, e sottolineo *pare* che non faccia danni al PC.
 ciao
	pgg

 ha scritto nel messaggio
news:cs540ugf9hm4ubstt...@4ax.com...

*Il mio per ora gode di buona salute...in compenso stamattina me ne sono
arrivati altri due (identificati e bloccati dal Norton), da persone
conosciute che mi hanno in rubrica.
Sto coso gira a una velocità pazzesca....
Valeria



Quindi? noi che abbiamo fatto dal registro vabbene?


 ha scritto nel messaggio
news:eac40uofm3pkdbmem...@4ax.com...

*La Norton dice che non serve farla da DOS dopo la quarantena, quindi
dovrebbe essere tutto ok.
Valeria

 ha scritto nel messaggio
news:ckqM7.18413$4M2.5...@news2.tin.it...
*Correzione dello streghetto x Ross: dal registro abbiamo eliminato la
chiave, non il file. E dice di metterti tranquillaaaaaaaaaaa!!!!! :-)))
Valeria

Sto coso gira a una velocità pazzesca....
 Pero' sapendo chi te l'ha inviato lo si puo' avvisare ed interrompere la
catena, mentre con altri virus, come Hybris, non puoi farlo perche' non sai chi
sia il mittente, e il worm continua a girare ormai da parecchi mesi.
 ciao
	pgg

E dice di metterti tranquillaaaaaaaaaaa!!!!! :-)))
 Penso sia il caso di aggiungere che non e' il caso di smanettare nel Registro
se non si sa bene cosa si sta facendo, o se non si ha l'assistenza dello
streghetto: si rischia di fare piu' danni del virus!  ;-\
 ciao
	pgg


hopiamo :-)




infatti io senza maghi  e maestri non tocco nulla!


 pgg
Arrivato anche a me 5 minuti fa. Tra l'altro ero in modalità non
amministrativa e con le
protezioni di cartella attivate... :-))
Ciao,
Skywalker ;-)


wrote:

Cosa sono le protezioni di cartella attivate?


 >
Scusa che e' questa quarantena? Io ho annullato tutto subito senza aprire
niente, ma ora mi viene qualche dubbioClaudia


niente, ma ora mi viene qualche dubbioClaudia
dovresti essee a psto.. fai una scansione



ICQ# 77296434
il sito di Gus: 
http://www.gusito.f2s.com

danni! 
 Beh, qualche anomalia gia' si vede: 
.
.
.
.
.
.
.
decine di righe inutili sopra la tua risposta!  8-Ţ~
 Ma hai lanciato l'allegato o hai solo aperto l'email? Comunque pare che
basti solo l'anteprima (almeno con Outlook E.).
 Se leggi i numerosi post al riguardo troverai info utili.
 ciao
	pgg