Newsgroup: it.diritto
Titolo: OT Virus.

Vi scrivo per segnalarvi un episodio spiacevole.
Un utente chiamato Alessandro (
alexd...@libero.it
), che io non conosco,
mi invia messaggi virali ogni dieci giorni. E' gią il terzo che mi spedisce
dal due agosto ad oggi. Il virus si chiama W32.Higuy@mm. Ogni volta, mi
arriva un post colorato con su scritto: "Occhio all'allegato ;-))" ed il
Norton Antivirus mi segnala la presenza dell'infezione. Per altro, il
messaggio non contiene la graffetta dell'allegato. Ho provveduto ad
avvertire l'utente e ad invitarlo a scansionare la macchina ed a farla
riparare, ma non ho avuto alcuna risposta e, in aggiunta, mi č arrivato un
nuovo post virale dopo dodici giorni. O l'utente non sa di avere il computer
infetto o qualcuno che ha il computer infestato ha il suo indirizzo ed il
mio in rubrica ed il virus si autospedisce.
Se qualcuno di voi ha il sospetto di avere la macchina infetta ed ha
l'indirizzo mio e di 
alexd...@libero.it
 in rubrica, potrebbe prendere i
dovuti provvedimenti come fare la scansione del computer?
Grazie e scusate il disturbo.

 Grazie e scusate il disturbo.
allora non è l'utente indicato quale mittente ad avere il virus, ma una suo
conoscente che ha il suo account nella propria rubrica.
Il virus per fare confusione inserisce a caso nomi trovati in rubrica quali
mittenti per non farsi individuare.
e dato che un account in rubrica potrebbe trovarsi ovunque la tua e-mail di
protesta non sortirebbe alcun effetto.
adesso una bella domanda
che versione di Outlook Express hai?
se hai la versione 5.0 o 5.5 sp1 corri subito a patcharla , queste versioni
hanno un buco grosso come un archivio notarile eh eh eh.
ed lasciano attivare in automatico gli allegati senza nemmeno che appaiano e
senza la consueta conferma dell'utente.
quindi è facile che il virus stia dilagando e non lo sai.   (se hai Norton
non ti fidare molto, è l'antivirus utilizzato dagli hacker per "testare" i
loro prodotti prima di lanciarli sul mercato).
per il patch la MS accortasi del buco provvede gratuitamente a fartela
scaricare dal suo sito, (cerca patch e outlook).
auguri e spero di esserti stato utile.

 che versione di Outlook Express hai?
6

 6
bene il 6 ha già inserito tale patch quindi è sufficiente l'antivirus.
purtroppo non puoi sapere chi effettivamente ti manda quel virus (a meno di
analizzare il ping) comunque posta il tutto su:
it.news.net-abuse
e chiedi la collaborazione di qualcuno per risalire all'effettivo mittente.

 e chiedi la collaborazione di qualcuno per risalire all'effettivo
mittente.
Ho provveduto.

 Ho provveduto.
comunque per prudenza puoi disattivare l'opzione anteprima.
ed inoltre non rischi nulla se con l'opzione proprietą vai a vedere gli
headers di chi ha spedito
il rischio deriva solo se č attivata l'opzione di visualizzazione pagine
HTML se tale casella č disattivata difficilmente i virus possono insinuarsi.
per questo  per i news č preferibile tenere sempre disattiva tale opzione.

 e chiedi la collaborazione di qualcuno per risalire all'effettivo
mittente.
A parte che la versione di OE era già ben visibile negli headers ;-))
su inna i virus sono ot. Il ng di competenza è comunque
it.comp.sicurezza.virus
Per Vega: se non posti gli headers un ot siffatto su inna ti può
costare qualche rispostaccia ;-)
Non corri alcun pericolo a leggerli.
Max max


Se ti dą tanto fastidio, puoi optare per un provider che faccia una
prescansione antivirus sulla posta in arrivo! č un servizio (a pagamento:
5,17 al mese) che ultimamente offre anche Libero!

...
** Non d'accordissimo sulla diffusione dell'indirizzo del presunto
sender (ultimamente, non pochi malicious codes generano fake senders;
cfr. aclune varianti Klez/Elkern), HiGuy e' particolarmente subdolo
perche'... si esprime (anche) in italiano. Cosa che puo' ingenerare un
certo grado di fiducia. Peraltro, non mi torna la mancanza
dell'allegato. Secondo fonti Symantec (e anche mie... ;-)))) dal
momento che ne ho ricevuti un paio tempo fa) l'allegato dovrebbe
esserci eccome.
http://securityresponse.symantec.com/avcenter/venc/data/w32....@mm.html
Io sono sempre piu' convinto che si debbano far nascere cause *pilota*
(ex artt. 18 o 36 l. 675/96). Troppa gente trascura i piu' elementari
fondamenti della sicurezza informatica, anche se imposti per legge.
In penale, pero', per HiGuy occorre aspettare dicembre (scadenza del
termine semestrale di aggiornamento dell'antivirus).
Un saluto.
Daniele Minotti
http://www.studiominotti.it

 esserci eccome.
La graffetta non c'era. C'era la frase: "Okkio all'allegato ;-))" e nessuna
graffetta.

 loro prodotti prima di lanciarli sul mercato).
** una seconda *sicurezza* e' il firewall (non quello standard di
XP...) che avvisa in caso di tentativo di accesso dall'interno
all'esterno. HiGuy, ad esempio, in alcuni casi apre una porta TCP. Il
firewall lo rileverebbe chiedendo il permesso.
** Auguri anche da parte mia... ;-)))))
Un saluto.
Daniele Minotti

sperando che qualcuno che lo conoscesse potesse avvertirlo. 
Da qualche giorno a questa parte, anch'io sto ricevendo qualche virus. So
di non essere granchè d'aiuto perchè non conosco il nome del virus ma non
m'è capitato di scaricarlo dal momento che uso un programma di posta che
legge sul server senza scaricare nulla se non lo si vuole (cho è
interessato può scaricare Pimmy, così si chiama il programma dal sito
www.geminisoft.com
).
Dicevo, nel mio caso il mittente "apparente" era un contatto della rubrica
del mittente "reale" che, cmq, si vedeva andando a controllare
semplicemente le proprietà del messaggio.
Alla voce "Return-Path" compariva l'indirizzo email del vero "infettato" :-)
Può darsi che nel caso di Vega questo non valga e allora....come non detto.
Saluti,
a n d r e a

 graffetta.
** Veramente strano, credimi. Sia ben chiaro: ci sono virus che si
diffondono anche come script in mail html (es. Happy Time), ma per gli
altri l'allegato e' sempre d'obbligo. Credimi, non mi spiego il tuo
caso. Che antivirus usi? Chi o cosa ti ha avvisato di quel worm?
(Suppongo l'antivirus).
Un saluto.
Daniele Minotti

 (Suppongo l'antivirus).
potrebbe darsi che l'antivirus ne abbia bloccato lo scarico?
anche se in formato mime integrato nel corpo del messaggio , può darsi che
un particolare tipo di antivirus lo cassi direttamente dal msg.
(è  solo un ipotesi).

 ** E ti lamenti? Io ne ricevo almeno una decina al giorno! ;-))))))
Io neanche uno :-P Usare un efficiente servizio di posta filtrata a
livello server no ? ;-)
Max max

 (è  solo un ipotesi).
** Mi sembra l'unica ipotesi... ipotizzabile ;-))))) Mi informo...
Un saluto.
Daniele Minotti

 
www.geminisoft.com
).
** L'uso di programmi come Geminisoft Pimmy e' un buon sistema per non
portare sul proprio computer mail infette. Cosi' anche i servizi
Webmail che, ormai, tutti i provider offrono gratuitamente. Il fatto
e' che occorre saper distinguere ad occhio le mail infette. Facile
nella stragrande maggioranza dei casi, ma un minimo di rischio c'e'
sempre.
La soluzione antivirus (meglio antivirus con firewall con funzioni di
controllo email) e' sempre la migliore. Visto che c'e' qualcuno che ha
ironizzato sul mio essere genovese... ;-))))) consiglio due programmi
gratuiti (anche se per uso *personale*).
Antivir PE - 
http://www.free-av.com
Zone Alarm (versione base) - 
http://www.zonelabs.com
Entrambi validi prodotti, il primo patisce forse il fatto di non
essere *sofisticato* (dal punto di vista della funzioni) come altri
prodotti commerciali (es.: NAV). In piu', l'aggiornamento via Internet
comporta quansi sempre il download dei tre moduli (programma, motore
di scan e firme), il tutto per quasi 4 Mega di roba... Piu' di 30
minuti con una K56 performante, da ripetere spesso (gli aggiornamenti
sono almeno settimanali, ma cosi' bisogna atrezzarsi per i virus...).
Un saluto.
Daniele Minotti

 Max max
** Passo spesso dal webmail del mio provider. Pero' confesso di
divertirmi molto nello *studio* di virus, worm e quant'altro. Tempo fa
ho scritto qualcosa su Interlex. Veramente due sciocchezze, ma non so
perche' sono state piu' apprezzate di cose che cerco di scrivere piu'
seriamente (e formalmente). Qualcuno potra' dirmi che, con le dovute
proporzioni, e' come giocare con il virus dell'HIV, ma per i malicious
mi sento protetto.
Un saluto.
Daniele Minotti

  Che antivirus usi?
Norton

 e nessuna graffetta.
Ma, a finale, hai risolto?
-- 
<Dmitry > Il problema è di altro tipo, fidati ....
<whiplash> si': che hai una connessione ad internet.
Butta il modem, suvvia.


Se hai Norton, č possibile che l'allegato sia stato eliminato proprio
dall'antivirus.
Ho letto il "successo" che hai ottenuto su it.comp.sicurezza.virus (a volte
basterebbe cosě poco per rispondere senza inutili polemiche...) comunque
leggo spesso quel NG e se non lo leggi tutti i giorni per tenerti
aggiornata, sui nuovi virus...scordati di avere una risposta......  :-(
.....se ti puň servire leggi qui:
http://www.leolab.org/virus_news_higuy.html
Hermione

 Norton
** Versione? data di acquisto? Ultimo aggiornamento?
Cordialita'.
Daniele Minotti

 data di acquisto?
???
Max max

 ???
numero di licenza?
codice cliente?

 ** Versione? data di acquisto? Ultimo aggiornamento?
2002 aggiornato al 22 agosto.

 ha scritto nel messaggio
news:akfbif$9eg$1...@lacerta.tiscalinet.it...

** Ebbene si'... sono un esperto BSA in incognito... Favorisca i documenti
;-))))
Un saluto.
Daniele Minotti

 ha
scritto nel messaggio news:7HGa9.105097$n04.2...@twister2.libero.it...

** Beh, allora stai tranquillissima (d'altro canto, se l'antivirus non
avesse funzionato a dovere non conosceresti il nome del virus). Visto che il
mittente non risponde - e senza voler fare i cattivi - fai come giustamente
ti hanno consigliato. Prova a contattare l'abuse, sperando almeno in loro.
Un saluto.
Daniele Minotti

 ti hanno consigliato. Prova a contattare l'abuse, sperando almeno in loro.
Mi ha scritto dicendo di avere il computerr pulito. A questo punto,
"l'untore"  (dell'Higuy, non del Klez) è uno che ha il suo ed il mio
indirizzo in rubrica.

 indirizzo in rubrica.
Se ci postavi gli headers .... Manda comunque una copia del messaggio
e degli headers all'abuse del provider con cui si è collegato (dall'ip
degli headers).
Max max

 indirizzo in rubrica.
** I casi sono due: o ti racconta una balla (non escludiamolo a priori...)
oppure e' una versione nuova e sconosciuta di Higuy (perche' la funzione
fake sender di quello precedente non e' documentata).
Boh... facci sapere.
Daniele Minotti

 degli headers).
E se fosse la Trevani? Ha gli indirizzi di mezzo mondo in rubrica ed una
volta fu accusata di spedire virus. E' ricomparsa da poco...........

 rimediato il 17 aprile 2002.
se la macchina era già infetta prima dell'aggiornamento, il virus incide
direttamente sull'antivirus impedendone l'eliminazione
dovrebbe smontare il disco e farlo analizzare da macchina sicuramente pulita
e dati i sintomi dovrebbe farlo quanto prima
comunque personalmente sono altamente diffidente nei confronti del Norton
non è così efficiente ed efficace
meglio altri prodotti.


Non vorrei essere nei panni del povero amico esperto, fatto segno di una
seduzione stellare!

 dovrebbe smontare il disco e farlo analizzare da macchina
sicuramente pulita
Esagerato ;-) Oltretutto si tratta di un portatile. Ci sono altri
sistemi meno complessi (ad esempio
riavviare il computer con un floppy sicuro e protetto da dos ed usare
un antivurs sempre da floppy per capire qual è esattamente il problema
sul disco e poi regolarsi di conseguenza). Teoricamente è possibile
che il norton sia andato ;-)
Comunque Vega le tue vacanze sono agli sgoccioli e quanto torni ti
faccio un corso io, perché mi sa che sei pericolosa con un computer in
mano ;-P
Max max

 mano ;-P
esatto è un sistema esasperato ma è l'unico che garantisce da attacchi anche
a livello bios.
poi da floppy non riesci a gestire file di riconoscimento virus molto grandi
il mio antivirus ad esempio ha un file di identificatori di virus grande
3000kb dimmi come fa' a starci su un floppy?
dovrebbe farsi un cd con boot ed antivirus aggiornato meglio un riscrivibile
ma dubito che sia nelle conoscenze medie di un utente normale.
l'analisi del solo disco invece è più semplice.

 ma dubito che sia nelle conoscenze medie di un utente normale.
Normalmente la scansione viene fatta utilizzando il file di
riconoscimento in sola lettura, che quindi può essere contenuto in un
cd anche senza boot. Il boot lo fai con un floppy protetto sotto dos.
Non è necessario usare un cd bootable.
Ovviamente devi avere a disposizione o sapere come procurarti l'uno e
l'altro ;-)
Max max

 direttamente sull'antivirus impedendone l'eliminazione
** Vero. Ho dato per scontato che l'infezione fosse avvenuta successivamente
soltanto perche', a quanto mi risulta, la diffusione di massa si e'
sviluppata tra giugno e luglio.
Piuttosto, viste anche le risposte all'arrivo di Klez, anch'io ho il
sospetto che NAV sia andato (magari si e' danneggiata qualche dll...
succede...). Oppure - cosa che mi passa ora per la mente - i precedenti
update non sono andati a buon fine. NAV, per quel che mi ricordo, lascia
intendere di aver aggiornato le firme, ma, effettivamente, non lo fa.
Talvolta scarica soltanto, ma non le installa.
Ci sono tante soluzioni, anche quelle drastiche (ma sicuramente piu'
tranquillizzanti) sostenute da blindo. Io, pero', proverei comunque con una
rimozione manuale e/o con tool (se te la senti). Infine reinstallerei NAV o
altro prodotto (NAV, sono d'accordo, non e' il migliore). Max parteggia
spesso per 
antivirus.com
, dunque per Trend Micro. In effetti, mi risulta il
prodotto piu' professionale sul mercato.
Se vuoi stare a costo zero, prova un po' a vedere Antivir PE
(
www.free-av.com
).
Infine: formattatina con backup dei documenti? Ogni tanto non fa male a
windows... Ricordati di fare una scansione prima della copia sul disco
nuovamente formattato.
Un saluto.
Daniele Minotti

 windows...
Per me è proprio l'estrema ratio. Mai fatto neanche con win 95  (con
opportuni back up del registro ovviamente, altrimenti era inevitabile
;-). Comunque xp è il massimo della stabilità.
Max max

> Max max
scusa tu sei il max max del camino?

 scusa tu sei il max max del camino?
No
Max max

 No
scusami ma mi era arrivata la richiesta di cunsulenza (e-mail privata) sulla
costruzione di un camino ed era firmata appunto max max

...

Pro oppure Home? E, sinceramente, di Win2000 Pro che ne pensi?
tecnologia sorpassata? Mi riferisco, in particolare, ai profili di
sicurezza.
Un saluto.
Daniele Minotti

 sicurezza.
Secondo me sì.
Max max

 Daniele Minotti
Saluti,
Gianni

 Microsoft... :-)
** Io non sono pro o contro Microsoft. Ne faccio soltanto una questione di
praticita' per il lavoro. Devo massimizzare il frutto del mio lavoro. Quanto
alla sicurezza, bisogna vedere cosa si intende e, comunque, nessun SO e'
immune da bachi-buchi, Linux compreso. Non penso che, come l'ho configurato
io, il mio sistema sia piu' scoperto di altri Linux based.
Un saluto.
Daniele Minotti

 Daniele Minotti
Chiudiamo quest'OT. :)
Cordialmente,
Gianni

 da poterlo configurare per altre vie, rischia pure... ^_^
** i buchi ci sono, eccome... e, comunque, devo essere in grado di
configurare il sistema...
Saluti.
Daniele Minotti