Newsgroup: it.arti.musica.metal
Titolo: (OT): VIRUS TREMENDO!

Raga: qcuno di voi per caso ha beccato (come la "fortunella"
sottoscritta) il TERRIBILE Opaserv (detto anche Brasil o Alevir)?...
E' da una settimana che ci sto combattendo: nonostante gli Antivirus e
il programmino scaricato da Symantec, riesco a levarlo ma mi rientra
ogni 20 secondi... Qcuno sa per caso come tenerlo a bada una volta per
sempre?  >:o(
Una Ste esasperata!

 sempre?  >:o(
Guarda se qui trovi qualcosa di utile:
mini-FAQ Opaserv
----------------
D: La connessione e' lenta, ho controllato sulle applicazioni in avvio
automatico e ho trovato un file scrsrv.exe, che cosa e'?
R: E' il sintomo dell'infezione dal worm Opaserv.
D: Opaserv? e chedd'e'?
R: Opaserv e' uno dei virus attualmente piu' diffusi in internet.
Un Worm e' un programma che si copia nei sistemi altrui, sfruttando
alcune vulnerabilita' e misconfigurazioni del tuo sistema windows.
D: Ma io ho l'antivirus, perche' non lo trovo?
R: L'antivirus e' aggiornato?
D: Come posso rimuovere opaserv?
R: Difendersi da opaserv e' abbastanza semplice, se uno ha l'accortezza
di prendere le adeguate precauzioni per chiudere le condivisioni dei
dischi e tenere aggiornato l'antivirus.
Consiglio di leggere innanzitutto le analisi del virus ai link che trovi
in fondo a questo documento.
Per prima cosa e' indispensabile chiudere le falle che permettono a
opaserv di entrare nel sistema.
Esso e' un worm classico, utilizza le condivisioni del disco C non
protette da password e quelle protette da password ma vulnerabili ad un
certo exploit.
Innanzitutto, quindi, bisogna proteggere tali condivisioni.
Il metodo piu' sicuro e' quello di rimuovere completamente la
condivisione file e stampanti di windows.
Tuttavia il primo passo e' quello di applicare la patch necessaria (solo
se hai Win98 o ME, invece Windows XP e 2Mila NON hanno bisogno di questa
patch). Via al sito indicato in fondo a questo documento e segui le
istruzioni.
Poi devi utilizzare un tool specifico, come quelli che trovi in fondo a
questo documento.
Oppure puoi eliminarlo a manina, le istruzioni le trovi sui siti delle
analisi.
D: Ho Win98/ME, come rimuovo le condivisioni ?
R: Segui le seguenti istruzioni.
Pannello di controllo -> rete -> TCP/IP (doppio click)
Vai alla pagina "Binding", dovrebbe esservi scritto "Condivisione file e
stampanti". Questa voce NON deve essere selezionata (non deve esservi la
crocetta di fianco).
Se hai anche una scheda di rete, la voce "TCP/IP" sara' presente assieme
a "Dispositivo di accesso remoto", scegli solo quella, altrimenti non
riuscirai piu' a condividere le risorse all'interno della rete locale.
Se la condivisione non serve affatto, eliminala completamente come
protocollo:
Pannello di controllo -> rete -> selezionare "Condivisione file e
stampanti" -> Elimina.
D: Ho Windows 2000/XP, come rimuovo le condivisioni?
R: ****da fare****
D: Ho una rete infetta, come rimuovo Opaserv?
R: Beh, con una rete le cose diventano un pelino piu' complesse.
Per prima cosa devi staccare completamente tutte le macchine della rete,
ho detto tutte! Quindi procedi a disinfestarle ad una ad una, patchando i
sistemi che lo richiedono, rimuovendo le condivisioni, o (se proprio non
puoi rimuoverle) proteggendole da password. Ricollega alla rete le
macchine solo quando sei sicuro che siano completamente pulite!
D: Ma e' un lavoro immane, non c'e' un metodo piu' semplice?
R: No.
D: Ma io non ho mai condiviso il disco C, perche' il virus entra lo
stesso?
R: Il disco C e' una condivisione amministrativa nascosa, quindi
accessibile anche se non l'hai fatto esplicitamente.
D: Io ho protetto le condivisioni con una password, perche' continuo ad
infettarmi?
R: Perche' non hai patchato il tuo Win98 o WinME. Corri subito ad
applicarla al sito in fondo alla pagina! e poi elimina gli share!
D: Non voglio eliminare gli share, come posso difendermi?
R: Puoi installare e configurare un firewall, ma attenzione, prima di
farlo devi capire come funziona e come configurarlo, altrimenti avrai un
falso senso di sicurezza o prenderai tanti spaventi per nulla. Leggi le
istruzioni sul sito del produttore del firewall che sceglierai, leggi le
far, leggi le securfaq.
D: Ho un firewall, da un po' di tempo continuano ad arrivarmi allarmi di
tentate intrusioni dall'ip (un-ip-qualunque) alla porta 137, che cosa e'?
R: Opaserv che cerca di infettarti. Sei il firewall ti allerta, vuol dire
che funziona bene. Disabilita gli alert e vivi felice!
D: Ho un firewall, da un po' di tempo continuano ad arrivarmi allarmi di
tentate intrusioni dall'ip (un-ip-qualunque) alla porta 137, Ho fatto la
scansione con l'AV ma non mi trova niente, aiutooooO!
R: Infatti: le connessioni vengono dall'esterno, non dall'interno. Il
virus e' al di fuori!
D: Opaserv viene rilevato nella cartella C:\_RESTORE, come faccio a
eliminarlo?
R: devi eliminare la cartella di restore di quel benedetto Windows ME /
XP. Cerca il link infondo alla pagina.
D: Al boot compare un messaggio "Impossibile eseguire il file
scrsrv.exe". cosa vuol dire?
R: Vuol dire che opaserv ha tentato di infettare il computer tramite una
condivisione aperta, ma non ci e' riuscito, ha solo modificato il win.ini
con la chiave
run = srcsrv.exe
Controlla comunque con un Antivirus aggiornato, ma soprattutto chiudi le
condivisioni!!!
------------------------
Link utili:
* Analisi:
http://www.sarc.com/avcenter/venc/data/w32.opaserv.worm.html
http://www.sophos.com/virusinfo/analyses/w32opaserva.html
* Removal tools:
http://securityresponse.symantec.com/avcenter/FixOpsrv.exe
* Patch per windows:
http://www.microsoft.com/technet/security/bulletin/MS00-072.asp
* Come rimuovere la system restore da windows:
ME:
http://service1.symantec.com/SUPPORT/tsgeninfo.nsf/docid/2001012513122239
XP:
http://service1.symantec.com/SUPPORT/tsgeninfo.nsf/docid/2001111912274039
Urizen

WOW... che figata di virus! :-)
Daniele



Poi fammi sapere QUANT'è SIMPATICO se lo becchi te eh Danie' ?
Ste

----------------
Grazie Uri, gentilissimo!
Purtroppo anche se ho in attivo fisso l'AVP Pro, uso il programmino
della Symantec, che me lo riconosce e me lo "quarantena", e nonostante
levi l'scr e il resto e abbia messo il patch per la ME,  mi continua a
entrare! :o(((

 R: Segui le seguenti istruzioni.
Pulsante Start, Esegui, scrivi nella finestrella che ti si apre:
format C: /autotest
attendi qualche minuto, quindi riavvia il computer.
Ora non hai piu' nessun virus, Windows 98 e' stato rimosso con successo.
-- 
il *Vide* - ICQ #5301833 
Linux user #224141 on Linux machine #106981
http://www.heavy-metal.it
"I've gone beyond the truth, it's just another lie."


Per me qualkuno lo fa...ocio :)
CM#10

 Poi fammi sapere QUANT'è SIMPATICO se lo becchi te eh Danie' ?
poi la gente si kiede perke' usi linux...
-- 
#include <stdio.h>/* (C) BW2K+2 This code is released under GPL 2+ */
int main(void){char c[]={98,108,97,107,119,111,108,102,64,116,105,
115,99,97,108,105,46,105,116,32,119,101,98,46,116,105,115,99,97,108,
105,46,105,116,47,98,108,97,107,119,111,108,102,0};printf("%s\n",c);}

poi la gente si kiede perke' usi linux...
Uuuh, che du balls... sempre i soliti discorsi...
Stefano

Ora non hai piu' nessun virus, Windows 98 e' stato rimosso con successo.
Sto amaramente rimpiangendo il Win95 infatti... :o(((
Ste

 Poi fammi sapere QUANT'è SIMPATICO se lo becchi te eh Danie' ?
Ehm ^__^
Daniele
-- 
"I'm born to Rock'n'Roll... I'm here to stay!" (Ozzy Osbourne)
STARGAZER: 
www.stargazer.it
 - Le stelle della scena Hard & Heavy!
NP: nothing


--------------------------
Io ho trovato solo questo:
Scaricare la patch da qui
http://www.microsoft.com/technet/treeview/default.asp?url=/technet/security/
bulletin/MS00-072.asp
It is also recommend that Win9x/ME users unbind File and Print Sharing from
the TCP/IP protocol.
  1.. On Windows 9x/ME, right click on Network Neighbourhood on the Desktop
and select properties
  2.. Select the TCP/IP protocol component that is bound to your network
adapter (ie. TCP/IP -> 3Com Ethernet Adapter, or TCP/IP -> Dial-Up Adapter)
  3.. Press the "Properties" button
  4.. Select the "Bindings" tab
  5.. Uncheck "File and Print Sharing for Microsoft Networks" if it is
checked
  6.. Click "OK" and "OK" again, reboot when prompted.
Note: The virus alters the WIN.INI file on remote systems after it copies
itself to that system. Therefore, VirusScan may detect and remove the virus
before the WIN.INI change occurs. In the scenario users may see an error
message that the file SCRSVR.EXE (or other file names) cannot be found when
starting Windows. To fix this, follow these steps:
  1.. Click START - RUN
  2.. Type WIN.INI and hit ENTER
  3.. Locate the run= line and remove the necessary filename after the =
sign
  (ie. C:\WINDOWS\SYSTEM\SCRSVR.EXE)
  4.. Click FILE - EXIT and select YES when prompted to save your changes
Presence of any of the following:
  a.. %WinDir%\ScrSvr.exe
  b.. C:\
SCRSDAT.IN
, C:\SCRSDAT.OUT (local infection)
  c.. C:\TMP.INI (when machine remotely infected)
Existence of either of the following Registry keys:
  a.. HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
  "ScrSvr" = %WinDir%\ScrSvr.exe
  b.. HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
  "ScrSvrOld" = (filename executed, if not %WinDir%\ScrSvr.exe)
Considerable port 137 traffic (UDP) originating from infected machine(s).
Spero ti siano utili...ciao

 Uuuh, che du balls... sempre i soliti discorsi...
potrei dire lo stesso di ki si lamenta dei virus


  mi continua a entrare! :o(((
E non sei contenta?
MODE CAZZEGGIO OFF
Altrui.

Uuuh, che du balls... sempre i soliti discorsi...
Soliti discorsi il cavolo... io ho usato 2 volte OE e mi sono preso i
primi due virus della mia vita... morale du palle (stavolta si) per
toglierli...
--
        TheJack v.2.0    [ King Puzzer delle rocce dure ]
                 On Air: "Taking over" OVERKILL
     Writer on: 
www.stargazer.it
   and  
www.heavy-metal.it
           _## 
www.melodicrock.com
 Daily Reader ##_
                  Undernet #Ldri! Channel Co-Founder

 primi due virus della mia vita...
Guarda... il colmo del colmo e' stato quando _sull'emulatore PC_ del mio
Mac ho configurato temporaneamente Outlook Express per scaricare la
posta, dato che dovevo fare un test.
Un solo scaricamento e sono riuscito a infettarmi pure quello (risolto
in un minuto ranzando via l'immagine del Virtual PC, di cui tanto non me
ne fregava nulla) e tutto a posto.
Pero' la cosa ha proprio del ridicolo, e il consiglio (se proprio non
riuscite ad aggiornare le definizioni dei virus ogni giorno, o se il
vostro provider di posta non vi fornisce un servizio a.v. lato server)
e' uno solo: non utilizzate Outlook Express!
Ci sono tanti programmi di posta che sono anche meglio, e che potete
utilizzare gratuitamente, che non vedo perche' continuare ad utilizzare
un programma che e' _per definizione_ vulnerabile a worm e virus...
capisco che sia comodo ritrovarsi OE preinstallato, ma cavoli... e'
tutto a vostro rischio e pericolo.
(Consigliato e' utilizzare anche browser alternativi ad Internet
Explorer, dato che quest'ultimo e' a sua volta vulnerabile a certi worm
web).
Per il resto, Windows e' utilizzabilissimo, alla faccia di chi dice di
passare a Linux, o Mac o altro   :-DD


 passare a Linux, o Mac o altro   :-DD
Infatti... w finestre, bottoni, drag&drop, comodita', un sacco di programmi
e videogiochi! :)
Niccolo'.

 delete *Pòg_mo_thòn* to reply
icq# 3346238 - 
http://eirinn.cjb.net/
 - "Per aspera ad astra... forse"

 e videogiochi! :)
Per certi versi manca,per altri celo. :)
Cmq. non mi interessano particolarmente...
www.happypenguin.org

 toglierli...
Ti è mica venuto il dubbioc he sei un pochetto sfigato? :D
Uso OE da anni (ok ok, ultimamente Outlook) e non ho MAI (MAI) preso un 
virus, pur non utilizzando alcun antivirus....

 Ora non hai piu' nessun virus, Windows 98 e' stato rimosso con successo.
Era una battuta ------> fa cagare
Non era una battuta --> fai cagare

 
www.happypenguin.org
Yeaaah brother!
The true brotherhood of penguins!
altro che quella metal :PP



wrote:

Ti segnalo caldamente per un'audizione con l'ultimo Pieraccioni...
Ste

bulletin/MS00-072.asp
CUT
Ringrazio di cuore tutti gli IAMMers che hanno contribuito alla causa.
La battaglia è stata VINTA inibendo un paio di porte. In ogni caso è
davvero un virus me**oso...
Ste

 The true brotherhood of penguins!
mmm mi sa ke passo definitivamente a freeBSD...


 mmm mi sa ke passo definitivamente a freeBSD...
Yeeeeah brotherhood of little evil!! altro che pinguini!
:PP
-- 
il Vide - ICQ# 5301833
IAMM - it.arti.musica.metal 
http://www.heavy-metal.it

 Non era una battuta --> fai cagare
PLONK


 Ora non hai piu' nessun virus, Windows 98 e' stato rimosso con successo.
Io preferisco
format c: /q /u
:D

PLONK
Ahahah, siete mitici!! :-D
Stefano

 Ahahah, siete mitici!! :-D
Ed č niente in confronto al putiferio scatenato su iamm_ot un pň di tempo fa
--
"Il fiume parte ed io ando insieme" Angra
Shannara

Ed č niente in confronto al putiferio scatenato su iamm_ot un pň di tempo
fa
Mmm, non mi ricordo bene, comunque deve essere stato in uno di quei 3d in
cui parlavate di sistemi operativi, quelli da un centinaio circa di
messaggi al giorno... :-/
Stefano

 Ahahah, siete mitici!! :-D
Non so cosa gli sia preso cmq, manco avessi insultato WinXP ;PP


 Non so cosa gli sia preso cmq, manco avessi insultato WinXP ;PP
In realtà un giorno scopriremo che usa XPDE e gioca solo ad UT2003 :D

 In realtà un giorno scopriremo che usa XPDE e gioca solo ad UT2003 :D
La mia evoluzione!!!!!
Io ho 98 e giocavo a UT.
8)))))))))
Sono un piccolo Lampiiiiiiiiiiii
(che culooooooooo!!!)
--
Ivars
"Non c'e' piu' religione"
"Meglio. Usciamo un'ora prima" (Bergonzoni-Doyle)

 Non so cosa gli sia preso cmq, manco avessi insultato WinXP ;PP
Va che non me la sono mica presa, anzi come già sai in sti giorni sono 
in fissa con la debian, mi diverto come un pazzo ma tu devi capire che 
LINUX NON E' UNA DONNA!!
Non è che se la difendi sempre a spada tratta e tratti le altre donne 
come merda te la da....
Si BS, non hai trovato una donna senza i 4 giorni col palloncino rosso 
:DD
Cerca ancora dai!

 In realtà un giorno scopriremo che usa XPDE e gioca solo ad UT2003 :D
mmmmmm........ quasi quasi :D
Mò provo a installarlo sul portatile con la debian, vediamo cosa ne dice 
:D 

 (che culooooooooo!!!)
Io, te e alla
Siamo già in tre.
La resistenza è inutile :D

virus, pur non utilizzando alcun antivirus....
Ecco, diciamo che siamo le due facce della stessa medaglia... CULOSO!


 virus, pur non utilizzando alcun antivirus....
Io ne ho preso solo uno in 4 anni...boh, sarà fortunato :D (ok, ora non
inviatemi tonnellate di virus... :)).
Gianluca
--
"Living in their pools, they soon forget about the sea."
- Rush, Natural Science -
www.stargazer.it

 :PP
eheheh aggiungerei anche
"If you don't feel it,you won't understand" :D

 Yeeeeah brotherhood of little evil!! altro che pinguini!
ok, ritorno all'abako
