Newsgroup: it.comp.appl.access
Titolo: OT, happy99

scusate, chi e' che mi aveva replicato su come rimuovere happy99?
puo' riscrivermi, anche via email se vuole?  non trovo piu' il thread,
forse e' stato segato proprio perche' c'era un attach...
--------------------------------------------
riparametrizzare il modello log-lineare
--------------------------------------------
togliere NOSPAM. per mandare email

...


E' questo quello che cercavi?
----------------------------------------------------------------------------
------
Sta in un attachment allegato ad ogni messaggio, se non usi un news reader
abilitato ai binari non lo vedi.
Che io abbia il virus č abbastanza difficile, visto che per mestiere li
levo. Che io li abbia attaccati a un messaggio inviato da un'altra persona,
č praticamente impossibile.
Comunque happy99 č un virus stravecchio (si fa per dire: poco piú di un
anno). Questo č un estratto della scheda del centro McAfee (AVERT) su
happy99. Per levarlo anche senza antivirus č sufficiente cancellare i files
indicati nel secondo paragrafo, ma modifica anche il registry aggiungendo
l'istruzione
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce\Ska.exe
="Ska.exe"
Paolo
**************
----------------------------------------------------------------------------
------

M``````````````````````$``+H0``X?M`G-(;@!3,TAD)!4:&ES('!R;V=R
AVERT cautions all users who may receive the attachment via email to simply
delete the mail and the attachment. The worm infects a system via email
delivery and arrives as an attachment called Happy99.EXE. It is sent
unknowingly by a user. When the program is run it deploys its payload
displaying fireworks on the users monitor.
When HAPPY99.EXE is run it copies itself to Windows\System folder under the
name SKA.EXE. It then extracts, from within itself, a DLL called SKA.DLL
into the Windows\System folder if one does not already exist.
Note: Though the SKA.EXE file is a copy of the original it does not run as
the HAPPY99.EXE files does, so it does not copy itself again, nor does it
display the fireworks on the users monitor.
The worm then checks for the existence of WSOCK32.SKA in the Windows\System
folder, if it does not exist and a the file WSOCK32.DLL does exist, it
copies the WSOCK32.DLL to WSOCK32.SKA as a backup copy.
The worm then creates the registry entry -
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce\
Ska.exe="Ska.exe"
- which will execute SKA.EXE the next time the system is restarted. When
this happens the worm patches WSOCK32.DLL and adds hooks to the exported
functions EnumProtocolsW and WSAAsyncGetProtocolByName.
The patched code calls two exported functions in SKA.DLL called mail and
news, these functions allow the worm to attach itself to SMTP e-mail and
also to any postings to newsgroups the user makes (NNTP).
Symptoms
Existence of the file HAPPY99.EXE, SKA.EXE, SKA.DLL and WSOCK32.SKA on the
local system - modifications to the system registry as mentioned above -
email mailings as mentioned above.
Method Of Infection
Running the executable will patch WSOCK32.DLL with two routines to assist
spreading by distributing by SMTP/NNTP transfers.
Removal Instructions
Use specified engine and DAT files for detection. Removal requires manual
operation: You will need to reboot to MS-DOS mode as WSOCK32.DLL cannot be
changed under Windows. "SHUTDOWN | RESTART TO MSDOS MODE" and when at the
command prompt, type in these instructions:
CD C:\WINDOWS\SYSTEM
REN WSOCK32.DLL WSOCK32.BAD
REN WSOCK32.SKA WSOCK32.DLL
DEL SKA.EXE
DEL SKA.DLL
COPY LISTE.SKA C:\
The above is sufficient to stop the worm from working. To restart Windows,
type EXIT. Note that the file LISTE.SKA contains a listing of persons whom
have received the HAPPY99.EXE file unsolicited from you. It would be good
netiquette to inform them of this misdeed and forward them the removal
instructions as well.


Se ti danno la soluzione me la passi?
allora, se vai sul sito della norton, 
www.norton.com
, e cerchi
nell'apposita casella del motore di ricerca happy99 ti dovrebbe
arrivare come seconda voce un link per scaricare un file di circa 300k
che dovrebbe servire a ripulire il sistema.  se vuoi te lo mando, le
istruzioni sono minimali, ma forse č meglio che un'occhiata alla
pagina la dai.
-------------------------------------------------------
concorsi pubblici truccati.  questo č solo un esempio:
http://www.fortunecity.com/business/koch/947/index.htm

 grazie
Aggiornati il McAfee... Stiamo alla release 63 da quando è uscita la
versione 4, circa 1 a settimana.
Le  istruzioni per la rimozione manuale risalgono a quando happy99 era stato
appena trovato  e non avevano fatto in tempo a preparare un aggiornamento.
Poi l'hanno rilasciato come extra.dat da copiare nella directory McAfee e
alla fine incorporato negli aggiornamenti.
Si tratta di cancellare i files ska.exe  e ska.dll dal computer, oltre che
fare quella modifica al registry che ti hanno riportato.
Meglio lasciar fare a Mac: se hai una licenza McAfee 4.x hai diritto a tutti
gli aggiornamenti della
serie 4, anche quando è scaduto il diritto ad aggiornare il programma stesso
(dopo 9 mesi). Oppure prendi una versione di prova, il tempo di pulire il
computer.
Oppure ancora ti colleghi col loro sito e ti fai purgare on line
(
www.mcafee.com
) Non l'ho mai fatto quindi non ti so dire quanto tempo devi
stare collegato.
Paolo

versione 4, circa 1 a settimana.
Paolo, la release 4.03 e' uscita da forse un anno.
La versione 63 del file dati e' in effetti l'ultima, e viene
aggiornata settimanalmente.
-- 
Ciao,
Giovanni

 aggiornata settimanalmente.
Lo so, mi devo essere spiegato male: il programma in vendita adesso è McAfee
4.03, uscito verso maggio. L'ultima volta che ho controllato l'engine
disponibile era ancora quello, non hanno fatto piú aggiornamenti.
Il file aggiornamento dati (identificato da progressivo 4061, 62, 63...) è
uno strazio: nei periodi caldi esce anche 2 volte a settimana e ormai sono
quasi 3 Mbyte...
Paolo

 togliere NOSPAM. per mandare email
Rispondo con estratto di un post trovato in un altro NG:
All'indirizzo 
http://craig.medill.nwu.edu/happy99/Happy99Cleaner.exe
troverete un programma (in lingua inglese) ottimo per la pulizia del virus
SKA... Esegue automaticamente  il programma di pulizia e alla fine verrà
fuori anche un elenco di persone a cui avete inconsciamente inviato il virus
a vostra volta.
POST SCRIPTUM
Abbiamo riassunto le istruzioni sufficienti per eliminarlo definitivamente
Se non vi bastasse,  le abbiamo comunque ricavate dal sito (in italiano):
http://www.omniaoffice.com/happy99/index.htm
a cui potete sempre andare.
Saluti -  desvaux