Newsgroup: it.hobby.scacchi
Titolo: OT: Chat di PlayChess probabile fonte di infezioni!

Ciao a tutti,
credo di aver risolto l'emergenza informatica per la quale ho chiesto
lumi ieri, ma apro un thread a parte per mettervi sul chi vive (andate
direttamente alla fine del messaggio se non volete sciropparvi
l'analisi tecnica).
Dunque: si trattava di un'infezione da 
Win32.RawBot.BE
, un noto
troiano che si installa come file SVCNXP32.EXE nella sottocartella
System32, creando nel Registry le due chiavi seguenti:
  HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
"WindowsXPserv"
   Type: REG_SZ
   Data: svcnxp32.exe
  HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
"WindowsXPserv"
   Type: REG_SZ
   Data: svcnxp32.exe
dopodiché agisce come IRC server sulla porta 6666 (non per caso
"rawbot" si pronuncia esattamente come "robot") e permette a un
malintenzionato di manipolare il sistema infetto con larga
discrezione.
Il mio fido antivirus si è opposto con le unghie e con i denti
all'infezione: il sintomo iniziale del beep insistito, che il RealTime
Monitor di eTrust 6.0 emetteva in continuazione allo startup delle
applicazioni, era causato con ogni probabilità dal suo tentativo di
zittire SVCNXP32.EXE, che però come file di sistema non poteva
toccare: deve esserci riuscito durante un avvio in Safe Mode e infatti
l'ho trovato rinominato dall'antivirus stesso con la sua classica
estensione .AVB.
Quest'ultimo inoltre, nel contesto della procedura di quarantena che
mette in atto quando rileva un virus, è facile che abbia disabilitato
l'accesso al registro così come avevo lamentato.
Il troiano si installa classicamente come attachment al ben noto
messaggio "Christina Aguilera naked".
Io non posso averlo preso in un modo così stupido, perciò le ipotesi
sono tre:
1. Tramite  e-mail, a causa della vulnerabilità recentemente
riconosciuta sul trattamento dei file immagine: il 20 ho ricevuto un
messaggio da un mio abituale corrispondente, che come è sua abitudine
era pieno di animazioni (sto verificando, ma ci credo poco,
l'antivirus se ne sarebbe accorto);
2. Tramite web, attraverso il furbo meccanismo di installazione che
gli untori di RawBot sono soliti utilizzare: come riportato da
qualcuno su Usenet, "if you attempt to use the vertical scrollbar on
this site it drags a exe called "settings.exe" to global startup..
once you reboot you will be infected." Questo già mi sembra più
probabile, ma rimango perplesso;
3. Tramite i canali di chat di Playchess, sul quale ho cominciato a
giocare intensamente, guarda caso, proprio in questi ultimissimi
giorni: questa è l'ipotesi cui credo di più e per questo ve ne parlo.
Se ho ragione, state all'erta, mi raccomando!
Grazie per l'attenzione e giornata immune a tutti ;-)
Andrea Malfagìa

>>
Ma , scusa l'ignoranza, come e' possibile beccare un virus attraverso una
chat?
Non bisogna sempre cliccare sull'eseguibile? Oppure basta semplicemente
leggere
un messaggio?
Ciao     Cappellaio

chat?
Non ho mai approfondito la cosa, ma direi che è possibile sfruttando
certe vulnerabilità dei comandi IRC.
A.M.

 wrote in message
news:p5A4d.374116$
5D1.16...@news4.tin.it

Quando sei su una chat il tuo computer e' connesso ad un server e
colloquia con questo attraverso una specifica porta.
Siccome tu vuoi usare quella chat, allora il tuo firewall sara'
informato che tutto cio' che arriva da quel server verso quella porta,
puo' passare, e viene ricevuto dal programma di chat che lo interpreta.
Succede che questi programmi di chat si appoggino a qualche libreria del
sistema operativo che lavora a piu' basso livello.
Succede che queste librerie che lavorano a piu' basso livello, ogni
tanto presentino dei buchi; buchi che vengono sollecitati attraverso
particolari messaggi che vengono inviati verso quella porta, che causano
un errore di funzionamento della libreria.
Questo errore pero' non e' la solita finestrella del tipo "il programma
ha eseguito una istruzione errata, etc..." ma ha un effetto che non e'
visibile all'utente.
Questo effetto in genere viene sfruttato in modo che la libreria invece
di eseguire la routine di gestione dell'errore, va ad eseguire
dell'altro codice.
Guarda caso questo codice e' quello che arriva con il messaggio
corrotto.
Spesso e volentieri questo codice contiene delle istruzioni tali per cui
la libreria si scarica altri dati dalla rete e li va ad eseguire, il
tutto senza che l'utente veda nulla.
Ma allora chi e' che manda queste cose attravarso la chat?
Semplice, l'utente che sta dall'altra parte, o meglio il virus che
risiede sul suo computer e che si e' accorto che e' stato aperto un
canale di chat e allora lui prova a mandare questi dati su quel canale,
e se dall'altra parte c'e' la libreria con lo stesso bug, la frittata si
propaga.
Sono stato spiegato?
-- 
Posted via Mailgate.ORG Server - 
http://www.Mailgate.ORG

 certe vulnerabilità dei comandi IRC.
Tenderei a escluderlo perentoriamente.
Alex


wrote:

Perché? Forse sarò stato un pò troppo lapidario, vedi spiegazione
molto più dettagliata di Montaruli: IRC è _notoriamente_ un protocollo
vulnerabile.
A.M.

 vulnerabile.
La spiegazione di Montaruli tocca altri aspetti, e può andare bene per
sistemi di chat proprietari. IRC non è __affatto__ un protocollo
vulnerabile. Te lo dico come ex amministratore di reti e server IRC,
hacker/manipolatore di sorgenti, eccetera :)
Alex

hacker/manipolatore di sorgenti, eccetera :)
Quindi la chat di Playchess è innocente, se implementa in modo
corretto il protocollo.
A questo punto le domande sono:
1) Si può dire che è tale? Io posso aderire ad uno standard,
supportarlo in modo 100% compatibile, ma al tempo stesso effettuare
aggiunte oppure commettere qualche errore che permetta azioni non
previste.
2) C'è altro nel client che si può prestare ad azioni intrusive?
Pura curiosità, visto che non lo uso e non penso di usarlo.

 corretto il protocollo.
La chat di Playchess non č IRC.
Alex

 Pura curiosità, visto che non lo uso e non penso di usarlo.
Ciao Giorgio,
    che io sappia esistono soltanto client vulnerabili.
    Julian

hacker/manipolatore di sorgenti, eccetera :)
Abbiamo un background del tutto analogo, anche se una delle mie
massime aspirazioni č di non dovermi (pre)occupare piů di tecnicaglie,
quindi č solo questione di punti di vista, in una sede non del tutto
consona ;-)
A.M.