Newsgroup: it.economia.borsa
Titolo: Lirva C, ,nuova variante del virus Lirva.

di Paolo Soldan
10 gennaio 2003
TrendMicro ha dato, la notizia della comparsa in-the-wild di una nuova
variante del worm Lirva. Il virus, segnalato dalle maggiori società di
sicurezza il giorno 7 gennaio, è un mass mailing worm che si propaga
sfruttando, oltre la posta elettronica, anche diversi sistemi di instant
messaging e condivisione file peer-to-peer.
La variante Lirva.C, conosciuta anche come I-Worm.Avron.b, Win32/Naith.C@mm,
W32.Lirva.C@mm, W32/Avril-B, si sta diffondendo via email, tramite risorse
di rete condivise, IRC, ICQ e il sistema di condivisione file Peer-to-Peer
KaZaA.
Le caratteristiche del worm sono le seguenti:
  a.. Oggetto: (uno dei seguenti)
    a.. Fw: Redirection error notification
    b.. Re: Brigada Ocho Free membership
    c.. Re: According to Purge's Statement
    d.. Fw: Avril Lavigne - CHART ATTACK!
    e.. Re: Reply on account for IIS-Security Breach (TFTP)
    f.. Re: ACTR/ACCELS Transcriptions
    g.. Re: IREX admits you to take in FSAU 2003
    h.. Fwd: Re: Have U requested Avril Lavigne bio?
    i.. Re: Reply on account for IFRAME-Security breach
    j.. Fwd: Re: Reply on account for Incorrect MIME-header
    k.. Re: Vote seniors masters - don't miss it!
    l.. Fwd: RFC-0245 Specification requested...
    m.. Fwd: RFC-0841 Specification requested...
    n.. Fw: F. M. Dostoyevsky "Crime and Punishment"
    o.. Re: Junior Achievement
    p.. Re: Ha perduto qualche cosa signora?
  b.. Corpo del Messaggio: (uno dei seguenti)
    a.. AVRIL LAVIGNE - THE BEST Avril Lavigne's popularity increases:
    SO: First, Vote on TRL for I'm With U! Next, Update your pics database!
Chart
    attack active list.
    Orginal Message:
    b.. Oppure
    Network Associates weekly report:
    Microsoft has identified a security vulnerability in MicrosoftIIS 4.0
and 5.0 that is eliminated by a previously-released patch.
    Customers who have applied that patch are already protected against the
vulnerability and do not need to take additional action.
    Microsoft strongly urges all customers using IIS 4.0 and 5.0 who have
not already done so to apply the patch immediately.
    Patch is also provided to subscribed list of Microsoft Tech Support:
    c.. Oppure
    AVRIL LAVIGNE - THE CHART ATTACK!
    Vote fo4r Complicated!
    Vote fo4r Sk8er Boi!
    Vote fo4r I'm with you!
    Chart attack active list:
    d.. Oppure
    Restricted area response team (RART)
    Attachment you sent to is intended to overwrite start address at
0000:HH4F
    To prevent from the further buffer overflow attacks apply the MSO-patch
  c.. Allegati: (uno dei seguenti)
    a.. Resume.exe
    b.. ADialer.exe
    c.. MSO-Patch-0071.exe
    d.. MSO-Patch-0035.exe
    e.. Two-Up-Secretly.exe
    f.. Transcripts.exe
    g.. Readme.exe
    h.. AvrilSmiles.exe
    i.. AvrilLavigne.exe
    j.. Complicated.exe
    k.. TrickerTape.exe
    l.. Sophos.exe
    m.. Cogito_Ergo_Sum.exe
    n.. CERT-Vuln-Info.exe
    o.. Sk8erBoi.exe
    p.. IAmWiThYoU.exe
    q.. Phantom.exe
    r.. EntradoDePer.exe
    s.. SiamoDiTe.exe
    t.. BioData.exe
    u.. ALavigne.exe
Il worm non richiede che l'utente apra l'allegato perchè venga eseguita la
sua carica distruttiva, poichè sfrutta una vulnerabilità dei client di posta
Internet Explorer-based per eseguire automaticamente l'allegato. Questa
vulnerabilità è conosciuta come Automatic Execution of Embedded MIME type.
Questo malware copia anche utte le password salvate nella cache e le invia a
uno specifico indirizzo di posta elettronica. Il 7, 11 e 24 di ogni mese il
worm tenta di aprire la pagina 
http://www.avril-lavigne.com
 per visualizzare
specifici messaggi sullo schermo.
La versione compressa con UPX del virus colpisce I sistemi Windows 95, 98 e
ME. La versione non compressa I sistemi Windows 95, 98, ME, NT, 2000 e XP.
Per ora il rischio di infezione è a un livello medio. Ciò nonostante il
consiglio è quello di aggiornare il proprio antivirus o effettuare la
scansione con l'antivirus ondine di ZDNet Italia.

 wrote in message
MHzT9.102505$TC5.3...@twister1.libero.it...


 ha scritto nel messaggio
news:MHzT9.102505$TC5.3...@twister1.libero.it...


 Peppuzzo dubitans
Abbastanza,comunque faccio prima altri controlli,vedi qui :
http://www3.ca.com/virusinfo/
Cordialmente.
giosusa