Newsgroup: it.discussioni.misteri
Titolo: [OT] SOBIG: come difendersi dal più grande spam di tutti i tempi

La diffusione del worm denominato Sobig, o più compiutamente W32/Sobig.f@MM
o worm_sobig_f. sta avanzando sempre più rapidamente in tutto il mondo. La
nuova minaccia informatica si è già impadronita della posta elettronica di
numerosi utenti non solo negli Stati Uniti ma anche in Francia, Germania,
Spagna e Paesi scandinavi. E sono arrivate moltissime segnalazioni anche
dall'Italia, tanto che il Ministero per l'Innovazione e le Tecnologie, nella
persona del Presidente del Centro Nazionale per l'Informatica nella Pubblica
Amministrazione ha diffuso una speciale comunicazione di allerta riguardante
le caratteristiche del virus e il sistema per disfarsene.
Il virus, potente, velocissimo e soprattutto difficile da riconoscere, è
scritto in linguaggio MVSC e si propaga via mail. È poi in grado di generare
messaggi uscenti utilizzando un proprio motore SMTP, quindi di diffondersi
anche su reti condivise.
Ovviamente la prima azione da intraprendere per difendersi è la verifica
della data di aggiornamento del proprio antivirus, seguita dall'eventuale
installazione della versione più recente, anche se il sistema migliore per
non contagiarsi rimane sempre l
Il vero problema di questo worm è però la sua individuazione: per non farsi
riconoscere, Sobig F cambia continuamente aspetto e il soggetto del
messaggio. Al fine di non essere rilevato automaticamente da possibili
filtri dei server di posta, che potrebbero escludere l'ingresso di file
aventi una precisa dimensione, il worm trasporta informazioni prive di
senso - in quantità variabile di volta in volta - accodate al file infetto,
in modo da renderlo non identificabile dai normali sistemi di check. Ad ogni
buon conto il file originario pesa 72295 bytes.
Se ricevete una mail con uno di questti file in allegato, non apritelo!Quasi
sicuramente contiene il worm Sobig
application.pif
details.pif
document_9446.pif
document_all.pif
movie0045.pif
thank_you.pif
your_details.pif
your_document.pif
wicked_scr.scr
Il mittente del messaggio può essere un qualunque indirizzo estratto dalla
rubrica di uno dei computer vittima, pertanto la mail sembra provenire da un
normale interlocutore. Oppure può essere un indirizzo falso di una persona
conosciuta.
'evitare di aprire i file allegati a messaggi sospetti.
L'oggetto del messaggio che veicola il virus è scelto a caso tra uno dei
seguenti:
Re: Approved
Re: Details
Re: Re: My details
Re: Thank you!
Re: That movie
Re: Wicked screensaver
Re: Your application
Thank you!
Your details
Il corpo del messaggio è normalmente uno dei seguenti:
Please see the attached file for details.
See the attached file for details
Il file allegato, quello che contiene il virus, si nasconde sotto le
sembianze di uno screensaver (.scr) o di un file contenente un programma di
informazione Windows (.pif). I nomi degli attachment più comuni sono:
. "application.pif"
. "details.pif"
. "document_9446.pif"
. "document_all.pif"
. "movie0045.pif"
. "thank_you.pif"
. "wicked_scr.scr"
. "your_details.pif"
. "your_document.pif"
Una volta che l'incauto destinatario del messaggio infetto abbia aperto
l'allegato, il worm va a copiarsi sul computer assumendo il nome di
WINPPR32.EXE oppure WINSTT32.DAT, e si memorizza nella directory di Windows
(es. C:\WINNT\WINPPR32.EXE) creando un file di configurazione WINSTT32.DAT
(es. C:\WINNT\WINSTT32.DAT).
A questo punto "Sobig" va ad aggiungere le seguenti chiavi di registro:
HKLM\Software\Microsoft\Windows\Run\CurrentVersion\TrayX con valore:
%WINDIR%\winppr32.exe /sinc
HKCU\Software\Microsoft\Windows\Run\CurrentVersion\TrayX con valore:
%WINDIR%\winppr32.exe /sinc
Che fanno in modo che il programma virus si auto-esegua ogni volta che il
computer viene acceso.
Per diffondere l'infezione, il worm ricerca poi nell'hard disk del computer
indirizzi email contenuti in file di tipo: *.dbx, *.eml, *.hlp, *.htm,
*.html, *.mht, *.txt, *.wab e, dpo averli trovati vi si auto-invia.
Come disfarsi del virus
Le principali case produttrici di software antivirus hanno creato dei
cleaner, ossia dei programmi che rimuovono automaticamente il virus e
ripuliscono i registri. Gli antivirus rilevano la presenza di tutte le
versioni di Sobig attualmente conosciute, cancellano i file infetti,
eliminano i processi di elaborazione infetta presenti in memoria e riparano
i file di registro di Windows eliminando quanto aggiunto indebitamente da
Sobig. Programmi di questo tipo sono scaricabili gratuitamente dalla rete da
indirizzi come, per esempio, 
http://www.nod32.it/home/home.htm
.
Chi ha esperienza nell'utilizzo del proprio personal computer può comunque
procedere alla rimozione manuale dell'infezione seguendo le seguenti tappe:
1) Avvio del computer
L'utente che utilizza Windows nelle versioni 95, 98 e ME deve riavviare il
computer in "modalità protetta", avendo cura di premere il tasto F8 non
appena il testo di avvio di Windows viene visualizzato sul monitor.
Chi, invece, utilizza Windows nelle versioni NT, 2000 e XP deve premere
contemporaneamente i tasti CTRL, ALT e DEL (o CANC, a seconda del modello di
tastiera) così da far apparire al centro dello schermo una finestra dedicata
alla protezione di Windows; deve quindi fare clic con il mouse in
corrispondenza del pulsante "Task Manager"; selezionare "Processi" e - fatto
scorrere l'elenco dei programmi in esecuzione - posizionare il cursore o il
mouse su WINPPR32.EXE; fare clic su "Termina processo".
2) Eliminazione dei file dalla directory di Windows
Cancellare dala directory di Windows (normalmente C:\WINDOWS oppure
C:\WINNT) i file WINPPR32.EXE e WINSTT32.DAT.
3) Revisione del file di registro
Eliminare il valore "TrayX" da
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
HKEY_CURRENT_USERS\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
I Paesi colpiti da Sobig F sono almeno 134 e, contemporaneamente a questo
virus, ci sono attualmente almeno due altre grandi offensive scatenate da
bachi informatici: quella provocata dal famigerato MSBlaster e quella
attuata dal virus Welchia che, sfruttando la stessa vulnerabilità di Windows
distrugge il predecessore Lovsan e poi, entra in azione.
Cnn Italia 23 Agosto 2003
-- 
Leonard Sersani

 Spagna e Paesi scandinavi.
L'unica soluzione e' cambiare quella merda di windows :-)
dan

 L'unica soluzione e' cambiare quella merda di windows :-)
Non sono certo un fan di Windows (uso Mac, dove i virus sono una
eventualità molto remota) ma mi sembra che la soluzione migliore sia
quella di non aprire i messaggi che arrivano da sconosciuti O se si
tratta di mittenti conosciuti non aprire i file allegati se non si è
sicuri del contenuto.
-- 
D i e g o  C u o g h i
 
www.diegocuoghi.com

 dan

 signor SO nato e sviluppato in Europa [cut]
Quand'anche fosse che si affermasse un altro SO come lo standard
"familiare", nella mia banale opinione di non-esperto, i virus sarebbero
fatti apposta per lui.
I virus, credo, non attaccano un gran ché linux o altri SO proprio perché
sono pensati per attaccare le debolezze del sistema piů diffuso e fare piů
danni possibile.
(Correggetemi se sbaglio)
Uh, basta stare attenti, come ha detto diego...
Magari guardare la posta in arrivo via web, e cancellare messaggi sospetti,
prima di scaricarla sul pc...
ciao
--------------------------------
Inviato via 
http://usenet.libero.it

 danni possibile.
In linea di massima hai ragione. Occorre pero' sottolineare che Windows
lascia aperte *troppe* finestrine e finestrelle per far uscire dati che
invece
dovrebbereo rimanere dove sono. E siccome da dove esce qualcosa,
qualcosal'altro puo' entrare.......... a buon intenditor........
(inutile, poi, rilasciare pietose Patchs - tanto vale essere meno curiosi -)
Linux pur non essendo al riparo da incidenti, ha un'architettura
completamente
diversa che, difficlmente, lo renderà vulnerabile in si fatta maniera.
E poi, è un SO! Non un CP/M - PC DOS vestito, rivestito, fritto e rifritto.
(vuoi mettere Unix......)
Saluti

 Saluti
Uh, stai andrando troppo nel tecnico, per me :)))
Sicuramente hai ragione, e windows è sicuramente più vulnerabile di linux o
unix (non so neanche la differenza tra i due, pensa te...)
quando avremo linux o unix come standard, ho "paura" che i virus lo
attaccheranno ben bene, perché gli sviluppatori avranno creato virus ad hoc,
e esisterà un SO poco diffuso, più sicuro...la storia sarà la stessa,
cambieranno solo i nomi :))))
ciao
PS chevvordì "CP/M- PC-DOS"????? :-*


 PS chevvordì "CP/M- PC-DOS"????? :-*
Sono i Sistemi Operativi (il primo per architettute a 8 bit tipo
processori Zilog) da cui, poi, salta quì, salta là, è sorto
Windows, quando MS comperò il vestito dalla BASF.
(molto in breve)
Saluti.

 L'unica soluzione e' cambiare quella merda di windows :-)
per usare quella cagata di MAC?? :-)))


basterebbe non aprire i file sospetti di Outlook, e non mi sembra molto
difficile, attivi la visualizzazione delle estensioni dei file e mi sembra
logico che un .pif o un .bat non lo apri,
se non hai questa capacità nel riconoscerli ti metti su un antivirus o passi
la posta su yahoo o hotmail e i virus te li tolgono loro.
X Daniele, quando uno col suo PC ci fa grafica di medio alto livello
(photoshop, multimedia, editing videogames), usa programmi che esistono solo
per Windows e se esistono per Linux vanno la metà e sono pieni di Bug? che
fai? smetti di lavorare?
kit

  e se esistono per Linux vanno la metà e sono pieni di Bug?
sul confronto gimp - fotosciopp per uno che ci sa fare quest'ultimo esce
con le ossa rotte:-))

 
a dire il vero ho notizie di grafici che passano a linux per poter usare 
gimp...sono notizie errate?
alek
-- 
agente operativo del BINT
appartenente ai gruppi d'assalto del SCS
presidente del LSFC
hacker della terribile banda del localhost

 con le ossa rotte:-))
Non conosco Gimp, ma non riesco ad immaginare cosa ci possa essere di meglio
di Photoshop...

 di Photoshop...
:-) non sono mai contenti....


 con le ossa rotte:-))
tutto puņ essere, Arecibo, resta il fatto che tutti quelli che conosco che
usano il PC per lavorare e anche giocare (che e' la maggior parte), devono
usare Windows, di riflesso, se devo comprarmi una suite come Red hat, per
avere la stessa interfaccia di Win, poi prendermi StarOffice od OpenOffice,
battere un testo di 50 pagine e poi vedermelo tutto rimescolato a cazzo:)
quando lo porto allo studio dove per forza di cose ho Windows...
kit

 eventualità molto remota)
direi impossibile.
Benvenuto compagno :-)
dan

 stessa, cambieranno solo i nomi
il difficile non e' scrivere virus per linux, ma convicere 
l'amministratore ad installarli.
lo scenario che descrivi e', IMO, poco probabile


 il difficile non e' scrivere virus per linux, ma convicere
Non e' difficile
To: 
ro...@xxxxxx.com
Subj: Re: My Details
Buongiorno
Sei stato contagiato da Lin.32.Collabra
Lin.32.Collabra e' il primo virus per Linux basato sui principi di
cooperazione costruttiva che hanno reso grande la comunita' Open Source.
Per partecipare all'infezione, sei pregato di inviare questo messaggio a
tutti gli amministratori di sistema di cui hai l'email in rubrica, e
subito dopo di cancellare tutti i file presenti nelle directory /boot,
/etc, /lib, /usr/lib e /usr/local
Grazie
Il team di sviluppo Lin.32.Collabra
-- 
A friend with weed is a friend indeed

 alek
E che ne so...io l'avevo detto che parlavo da profano :))))
Io vedo i pc come macchine, li conosco molto in superficie.
A me, utente non addetto ai lavori, sembra che il quadro sia questo: un SO è
lo strato "superiore" attraverso il quale la persona fa compiere un lavoro
alla macchina.
Un virus è un programma creato da qualcuno per intrufolarsi nei punti deboli
dell'architettura "logica" della macchina, e creare scompiglio.
Ho l'impressione che le maggiori o minori difficoltà nel colpire un SO
rispetto a un altro siano "contestuali", non "universali", tutto qui.
Ma ripeto, appunto: non sono un tecnico.
Per quel che ne so (praticamente zero), potrebbe benissimo venire sviluppato
un virus per linux che si installi "bypassando" il consenso
dell'amministratore...
Se mi dici che ciò è, e sarà, sempre *oggettivamente* impossibile, ti credo
sulla fiducia :))
ciao


 wrote:

l'ignoranza paga.
comunque dei fantastici argomenti per dibatterci!
Tra le altre cose impara a scrivere, se non altro fai più bella figura:
MAC = Mac 
MAC = INdirizzo scheda di rete
dan

 fai? smetti di lavorare?
GIMP gira su LInux
Tutti i programmi per pc e molto di più per grafica/impaginazione oltre
che video/musica ci sono anche per Mac... e girano molto meglio (uno che
c'ha provato.. :-)
Per i videogames, sono daccordo che non ci sono tutti...ma sinceramente
preferisco la play et console varie per giocare (sempre che abbia tempo
e voglia di usarle :-)
-- 
Daniele a.K.a Malcom
    | mail: 
malco...@nospam.libero.it
    | aim:  malcombsd
    | web:  
www.westcode.vze.com

 gimp...sono notizie errate?
giusto giustissimo.
se usi macosx puoi usare tutti i programmi di grafica di win (e molti di
pių...e pių veloce) e anche quelli di linux (quindi gimp...veramente un
ottimo software).
viva le alternative.
basta informarsi.


 gimp...sono notizie errate?
Può darsi che siano grafici che lavorano solo per il web.
Gimp infatti non ha le funzioni di PhotoShop per l'uscita tipografica
(es. CMYK) e la calibrazione colore, e comunque ha molte meno funzioni
di PhotoShop.
http://snurl.com/25qd
In particolare è interessante questo:
http://snurl.com/25qg


 credo sulla fiducia :))
beh, impossibile e' una parola grossa, ma direi che la logica di 
funzionamento di linux lo rende intrisecamente molto piu' sicuro di 
win. infatti, fino ad oggi, che io sappia non esistono virus per linux 
(che, ti ricordo, ha una fetta molto grossa del mercato server), ma 
solo worm che attaccano alcuni determinati programmi server. se tu non 
hai questi programmi o hai applicato la patch (che spesso esce piu' in 
fretta nel mondo linux rispetto a quello win), puoi allegramente 
fregartene :). 
se vuoi un parere piu' autorevole, leggi qui:
http://snurl.com/25tp
http://snurl.com/25tq
alek
fup e xpost impostato su it.comp.sicurezza.varie


 dell'amministratore...
Hai perfettamente ragione, parlando in teoria ed in astratto.
Nel concreto, ci sono diversi punti che rendono linux meno facilmente
attaccabile rispetto windows:
- Linux nasce in configurazioni diversissime, con versioni dello stesso
software differenti e customizzate in modo differente. Non esiste un
solo linux, ma linux ricostruito e distribuito per Red Hat, per Debian,
per Mandrake... quindi con falle differenti. Un virus/programma, per
avere grossa diffusione, dovrebbe prevedere un grosso numero di
possibilita'. In windows cio' non avviene, in quanto la maggior parte
del software e' standard (s.o. in primis, poi i client di posta, i
browser).
- Linux nasce con una struttura intrinsecamente piu' sicura (separazione
tra utente ed amministratore), windows solo nelle versioni da NT in su.
- Chi usa linux con testa, sa sfruttare il punto precedente utilizzando
i programmi utente come utente e non come amministratore. Anche per chi
usa windows da NT in su, ma questi ultimi sono in numero molto meno.
Voglio comunque spezzare una certezza. Un worm (non un virus!) per linux
si puo' diffondere anche senza avere l'accesso come amministratore, il
problema (attualmente: in futuro non so) sta nel fatto che esistono ben
pochi programmi che si prendono il lusso di eseguire gli attachment
senza consenso dell'utente, o comunque tra gli utenti linux lo scambio
di programmi eseguibili e' praticamente inesistente; la minaccia attuale
sta non negli eseguibili ma nei linguaggi interpretati e, in parte
minore, dei bachi dei programmi. Se nel futuro linux si dovesse
diffondere, assieme all'abitudine di scambiarsi(che so?) filmati in
flash o altre cazzabubbole che contengano codice, o se dovesse
diffondersi un linguaggio simile al visual basic... beh, la situazione
potrebbe facilmente cambiare.
-- 
HappyCactus - Linux User #209744 - 
http://pngstego.sourceforge.net
 
 
www.google.com
 - 
groups.google.com
- Per Berlusconi un'affascinante sfida quella dell'Europa   -
- Gli si apre tutto un altro mondo da insultare (ellekappa) -