Newsgroup: it.cultura.libri
Titolo: [OT] Virus W32.badtrans.b@mm

Scusate se mi permetto, ma magari alcuni di voi sono infetti e non lo
sanno, e non sanno come fare per scoprirlo, e non sanno come fare per,
eventualmente, mettere rimedio.
Premettendo che la cosa migliore sarebbe controllare se avete un
antivirus installato, se le definizioni dei virus sono aggiornate e se
la risposta e' no, uscire, andare a comprarlo e installarlo, queste
"istruzioni" valgono per Windows 98 e vanno eseguite con tutte le
applicazioni chiuse.
Per prima cosa controllate nella cartella c\windows\system se c'e' un
file che si chiama kernel32.exe. Quello e' il nome con cui il virus si
riscrive dentro Windows, da NON confondere con il file kernel32.dll
che invece e' innocente e deve stare al suo posto, controllatene la
presenza usando la visualizzazione di "Tutti i file" nelle Opzioni
Cartella (Risorse del computer -> Visualizza -> Opzioni Cartella ->
Visualizza -> Mostra tutti i file).
Il kernel32.exe va rinominato in DOS 
(C:>windows>system ren kernel32.exe kernel32.old 
o qualunque nuovo nome vogliate dargli), dopo di che lo si puo'
cancellare se avete verificato che l'altro (kernel32.dll) e' presente.
Poi aprite la cartella c\windows\temp e cancellate tutti i file con
nomi strani che non riconoscete, e che possono avere estensioni varie
tipo .doc, .pif, .mp3, ecc. e nomi particolari tipo "MYNUDEPIC".
Poi purtroppo il file infetto va anche tolto dal registro di Windows,
in questo modo:
Start -> Esegui
Scrivete "regedit" nella riga di comando, e si apre la finestra dei
registri. Aprite l'albero dei registri (cliccando sulle crocette a
sinistra delle cartelle) in questa sequenza:
HKEY_LOCAL_MACHINE
Software
Microsoft
Windows
Current Version
RunOnce
Dentro la cartella RunOnce dovreste trovare una chiave di registro che
dice ab Predefinito (valore non impostato) che _non va toccata_ e
un'altra che si chiama kernel32.exe e che va cancellata (clic destro,
Elimina). 
Chiudete pure il registro e riavviate la macchina.
A questo punto rifate uno scan con l'AV aggiornato e controllate che
tutto sia stato tolto di mezzo. Eventualmente fate anche uno Start ->
Trova file e cercate ad esempio con la chiave kernel*.* sul disco o
dischi fissi che avete, e dovreste trovare solo il kernel32.dll che
come detto e' incolpevole.
Per utenti Outlook, sappiate che non e' necessario aprire l'allegato
per lanciare il virus, basta solo che abbiate OE impostato con la
visualizzazione dell'anteprima dei messaggi. Sarebbe bene
disabilitarla quando siete collegati, Visualizza -> Layout -> togliere
la spunta a "Visualizza riquadro di anteprima". Per leggere i messaggi
dovrete aprirli.
-- 
Isa
Work like you don't need money,
Love like you've never been hurt,
And dance like no one's watching
http://web.tiscali.it/alfabeto_auschwitz/index.htm

 visualizzazione dell'anteprima dei messaggi...
Emh ... interessantissima e lodevole
la tua informativa, ma quest'ultima informazione
temo non sia giusta: io ho Outlook con anteprima attivata,
ho ricevuto una di quelle mail e, con PCCillin superaggiornato
attivo, il virus non è stato rilevato.
Ma dopo aver salvato la mail in una cartella temporanea
e averla fata analizzare, il virus è stato rilevato
ed eliminato; si tratta di WORM_BADTRANS.B
Quindi non è vero, perchè l'ho sperimentato
anche in altre occasioni, che l'anteprima di OE
è sufficente ad attivare un worm.
ciao
Angelo Pavese

è sufficente ad attivare un worm.
Fammi capire, avevi l'anteprima attivata, e ti sei beccato il virus.
Cosa c'e' che non va rispetto a quello che ho detto io? 
-- 
Isa
Work like you don't need money,
Love like you've never been hurt,
And dance like no one's watching
http://web.tiscalinet.it/alfabeto_auschwitz/

sanno, 
Eccomi: ti ringrazio, Isa.
Fra l'altro io non ho mai, MAI, l'anteprima di Outlook attiva (che è
un suicidio!). Lungo spiegare perché ho aperto l'allegato (e comunque
prima di leggere il tuo post non sospettavo nulla).
Due osservazioni. Nel registro non mi ci è finito nulla, ma grazie.
Usare il DOS è stato complicato. Ho dovuto telefonare a un amico e
bisognerebbe spiegare che ci vuole il disco di ripristino (non penso
che il prompt di DOS sia sufficiente) ma attendo smentite.
Inoltre: il PCCillin NON LO RILEVA (come osservava qualcun altro). Ho
fatto la scansione da WEB, si è soffermato un attimo su kernel32.exe
ma non lo ha rilevato.
F-prot lo rileva MA NON RIESCE A ELIMINARLO.
Il modo corretto è quello suggerito da IsaZ (purché si abbiano
rudimenti di DOS o un amico che al telefono ti detta passo passo la
procedura con il floppy di ripristino).
Ciao IsaZ e grazie. Tante, davvero.
AH DIMENTICAVO: un altro file da eliminare è il KDLL.dll che si trova
sempre in windows sistem e che è allegato al virus. (C:windows>system)
==================================================
maria strofa
http://digilander.iol.it/mariastrofa

 procedura con il floppy di ripristino).
Cos'è il disco di ripristino? Se non ce l'ho è meglio che non mi imbarco a
cancellare come aha detto Isa?
Grazie
Lucia

 Cosa c'e' che non va rispetto a quello che ho detto io?
Non mi sono affatto beccato il virus!
ripeto: ho copiato la mail in una cartella
e poi ho fatto controllare la mail (quindi l'antivirus
ha controllato l'allegato, in definitiva)
dall'antivirus, il quale ha rilevato la presenza del
virus, ancora inattivo, e lo ha eliminato.
Il virus non ha potuto attivarsi in alcun modo
perchè non ho lanciato l'allegato.
Per scatenare questi worm
bisogna lanciare l'allegato, sennò restano inattivi.
ciao
Angelo Pavese

 un suicidio!).
Scusa, Maria ma lo dico anche a te:
la pura e semplice anteprima non attiva i virus.
Questi virus partono quando apri, o lanci, l'allegato.
ciao
Angelo Pavese

Questi virus partono quando apri, o lanci, l'allegato.
Ti credo, senza dubbio, ma avendo sentito (e puň trattarsi di leggenda
metropolitana) che "qualche" (ripeto) "qualche" virus potrebbe
(condizionale) e poteva (qualcuno lo disse) attivarsi anche soltanto
con l'apertura dell'anteprima, ho preferito eliminarla. Ma non ho
nessun dubbio a credere che in QUESTA circostanza e anche in altre sia
cosě. L'ho disattivata cosě come anche chi non č superstizioso fa un
gesto di scarmanzia. Per dire, insomma...
Comunque grazie della precisazione. 
Piuttosto qualcuno saprebbe dire a KIA se si puň cancellare
(rinominandolo) il file anche da Prompt Dos oppure bisogna avere per
forza il floppy di ripristino come ho dovuto fare io?
maria strofa
http://digilander.iol.it/mariastrofa

 Inoltre: il PCCillin NON LO RILEVA (come osservava qualcun altro.
Lo rileva eccome!
Ecco il rapporto di PcCillin dopo averlo cancellato
dalla mail (senza che potesse attivarsi):
Lista dei virus trovati
18:33:26,C:\TEMP2\RE_.EML,WORM_BADTRANS.B,
Impossibile pulire il virus - file infetto eliminato.
,P,Real-time Scan
ciao
Angelo Pavese

,P,Real-time Scan
Anche qui non ho dubbi e ti credo. Io non l'avevo questo antivirus
nell'HD e siccome F-prot lo rilevava senza eliminarlo mi sono
collegata per una scansione on-line,  ma non lo ha rilevato, e nemmeno
cancellato - e il sito era quello di PcCillin. Ho fatto uno scan on
line perché non l'avevo nel computer. Ho specificato nel mio post che
mi ero collegata dal Web.
maria

 forza il floppy di ripristino come ho dovuto fare io?
Niente da fare, non mi risponde nessuno. E se lo cancello (butto nel cestino
e svuoto il cestino) da windows? Troppo facile, eh?
Siamo sicuri che non fa danni seri (tipo cancellarmi tutte le mie brave
relazioni?
Lucia

 mi ero collegata dal Web.
Mah ... è strano ... può darsi che non aggiornino spesso
il file pattern di questa utility on-line considerandola
poco importante ... è un'ipotesi ...
Io ho aggiornato il mio PcCillin proprio oggi,
e quel worm me lo ha rilevato.
Una cosa è certa: più spesso si aggiorna l'antivirus, è meglio è.
ciao
Angelo Pavese

 Niente da fare, non mi risponde nessuno.
Io provo a consigliarti una procedura,
sperando che tu non abbia Win ME o XP:
Riavvia il PC in Modalità DOS,
digita:           cd system (invio)
poi digita:     del kernel32.exe (invio)
poi riavvia (o resetta) il Pc.
ciao
Angelo Pavese

 Questi virus partono quando apri, o lanci, l'allegato.
dipende della versione di outlook express cioè della versione di mime usato. C'è
un errore di microsoft già corretto nel mime che lanciava subito l'allegato,
bisogna istallare una versione nuova di OE o scaricare l'update di microsoft
come ha già scritto diego cuoghi:
 
http://www.microsoft.com/windows/ie/downloads/critical/q290108/default.asp
con questa versione di OE anche la visualizzazione dell'anteprima non fa più
male, ce l'ho in ufficio e mi sta avvertendo subito di non aprire l'appendice e
non sta eseguendo niente automaticamente.
per Kia:
se non usi windows2000 o windows me puoi semplicemente cancellare kernel32.exe
(non kernel32.dll !!! altrimenti guai!) e kdll.dll (diffonde tutto ciò che stai
scrivendo sul pc)  in \windows\system.
ciao
Jürgen
ps
ma non parlate più su quel coso con cinque lettere che ha l'indice ma non è una
mano?

 
mi sono rivolta ai "ragazzi del virus" qui accanto, sono salva!
bibi
-- 
Posted from 
ppp-125-130.26-151.libero.it
 [151.26.130.125] 
via Mailgate.ORG Server - 
http://www.Mailgate.ORG

 modalitą provvisoria. trova file .cancella file.kernel32 e kdll.dll
riavvia.


 mano?
ha sottomano la settimana enigmistica?

 ha sottomano la settimana enigmistica?
no, mi servirebbe?
ciao
Jürgen

con l'apertura dell'anteprima, ho preferito eliminarla. 
Non e' una LM, ma la pura verita' per quelle versioni di OE che
presentano il bug. Tant'e' vero che Microsoft nel suo sito ospita
delle patch da scaricare e applicare per risolvere il problema. Se
Angelo vuole verificare non ha che da procurarsi la versione 5 di OE,
attivare l'anteprima, disattivare l'antivirus, aspettare che qualcuno
gli mandi la mail infetta (con questo verme, perche' di questo si
parla) e vedere cosa succede.


bisogna lanciare l'allegato, sennò restano inattivi.
Non in tutti i casi. I virus non sono tutti uguali. In questo caso, e
con l'anteprima di OE attiva per quelle versioni di OE che hanno il
baco, se non c'e' antivirus il verme si installa nella cartella System
e nel registro. Verificato personalmente.
-- 
Isa
Work like you don't need money,
Love like you've never been hurt,
And dance like no one's watching
http://web.tiscali.it/alfabeto_auschwitz/index.htm

sempre in windows sistem e che č allegato al virus. (C:windows>system)
Infatti. Ieri non ne ero certa, perche' avevo la sensazione che
potesse essere un file legato a qualche altra applicazione quindi l'ho
messo in quarantena ma non l'ho cancellato. Chi se lo trova, se ne
liberi.
