Newsgroup: it.economia.borsa
Titolo: VIRUS NEL NG!


Date: Wed, 3 Feb 1999 19:40:39 +0100
Message-ID: <01be4fa4$b234fb00$0100007f@localhost>
TESTO DEL MSG
============================================================================
==
ATTENZIONE!
Ho ricevuto da alcuni iscritti a questa lista un messaggio vuoto con
allegato un file dal nome  happy99.exe
E' UN WORM, cioe' un virus che si auto-propaga. Non dovrebbe fare danni
ma altera alcuni file di sistema di Win95 in modo da attaccare una copia
di se stesso ad ogni email che si invia. Chi esegue l'allegato vedra' il
proprio computer infettato.
Allego delle note tecniche che spiegano come riconoscere ed eliminare
l'infezione.
Ciao a tutti.
Gianluca
TXT INCLUSO:
============================================================================
====
Oggetto: Analisi nuovo worm: HAPPY99
I-Worm.Happy
-------------
Questo e' il primo, moderno Internet worm ("verme") conosciuto ad essere
scoperto "in the wild" (diffuso). Questo worm dei computer e' una sorta
di programma virus che per diffondersi non infetta dei file ma invece
usa come vettore le e-mail spedite via Internet, inserendo in allegato
alle e-mail una copia di se stesso.
Il worm e' stato spedito da qualcuno (forse lo stesso autore del worm)
su diversi server di notizie (Usenet newsgroups) nel gennaio 1999; in
pochi giorni si e' diffuso a macchia d'olio in Europa e continua a
diffondersi rapidamente.
Il worm arriva agli utenti come allegato alle e-mail, nella forma di un
file eseguibile con il nome HAPPY99.EXE. Allo scopo di dissimulare la
sua vera natura, quando viene eseguito il worm mostra sullo schermo un
simpatico effetto; dunque, si puo' affermare che presenta anche le
caratteristiche tipiche di un cavallo di troia.
Nel corso dell'esecuzione, il worm si installa nel computer,
intercettando delle chiamate di sistema che gli consentono monitorare
l'invio di e-mail su Internet; quindi converte una copia di se stesso
come allegato binario alle e-mail che vengono spedite. In questo modo il
worm, quando e' installato nel sistema, e' capace di inviare delle copie
di se stesso a tutti i destinatari delle e-mail che vengono spedite.
Quando si installa, il worm modifica soltanto dei file che risiedono
nella cartella di sistema di Windows. In tale cartella crea i file
SKA.EXE e SKA.DLL, copia il file WSOCK32.DLL nel file WSOCK32.SKA e
modifica la librearia originale WSOCK32.DLL allo scopo di intercettare
l'invio di e-mail.
Rimozione e Protezione
----------------------
Se il worm viene identificato sul proprio sistema, la sua eliminazione
e' semplice e non costituisce un problema. Basta cancellare i file
SKA.EXE e SKA.DLL dalla cartella di sistema. E' anche necessario
ripristinare il file originale WSOCK32.DLL, cancellando il file
WSOCK32.DLL modificato dal worm e quindi rinominando il file WSOCK32.SKA
in WSOCK32.DLL. Anche il file HAPPY99.EXE dovrebbe essere localizzato e
cancellato.
Per proteggere il proprio computer da una nuova, possibile infeziona da
parte del worm e' sufficiente impostare gli attributi di sola lettura
del file WSOCK32.DLL. Il worm, infatti, non prevede alcuna gestione
dell'attributo di sola lettura e quando tenta di modificare un file
WSOCK32.DLL che possiede tale attributo fallisce nell'operazione.
Alcuni consigli
---------------
Non aprire ed eseguire un eventuale file HAPPY99.EXE ricevuto in
allegato ad una o piu' e-mail. Anche se questo proviene da fonti di cui
si ha fiducia. E' anche necessario ricordare che i file prelevati da
Internet possono sempre contenere del codice pericoloso, capace di
infettare il proprio computer, compromettere dei dati, inviare
informazioni confidenziali su Internet o installare dei programmi-spia
capaci di monitorare il computer in remoto (backdoor). Quindi e' sempre
necessario prendere delle opportune precauzioni quando si preleva ed
installa del software ricevuto via e-mail.
L'apertura di documenti Office con la protezione dai virus disabilitata
e l'esecuzione di programmi sono operazioni molto rischiose. E'
necessario ricordare sempre questo principio ogni volta che si trova un
allegato nella propria posta elettronica.
============================================================================
======
Ringrazio Gianluca per il tempismo e vi avviso che happy99.exe,
per quanto ne so, funziona proprio in questo modo.
Saluti
Norberto Tranquillo
(DEL SPAM)

Evitiamo di scrivere pirlate per favore.
Questo news non accetta i file binari in attach e quindi lasciamo perdere
questi inutili allarmismi

questi inutili allarmismi
Mi correggo : una volta questo ng non accettava i file binari in attach.
Adesso sembra di si, quindi faccio ammenda e vi esorto a NON ESEGUIRE nessun
eseguibile attaccato ai messaggi.