Newsgroup: it.comp.software.shareware
Titolo: virus w32oparerv chi lo conosce ?

chi conosce questo virus oltre la symantec, e sa come proprio si riesce a
togliere da un computer questo benedetto polimorfo
un mega grazio da me e da tanti altri colpiti da questa piaga
nb" possibilmente senza formattare l'hd"


ti conviene chiedere su it.comp.sicurezza.virus ma prima leggiti i post
precedenti, che lì sono un po' suscettibili
--
Skanka - Can8 Tutto quanto ho scritto è da ritenersi rigorosamente IMHO; ICQ
#89348176
Ti piace scommettere?
http://www.sport4fun.com/it/redir.asp?cas=parrain&parrain=skanka
Webmaster di 
www.gemonterosa.cjb.net
 
www.numinato.cjb.net

 precedenti, che lì sono un po' suscettibili
Ti consiglioMOLTO CALDAMENTE di leggere i post precedeti perchè di opaserv
se ne è parlato molto.
Cmq oltre al tool della symantec devi togliere le condivisioni dei dischi e
delle stampanti.
Perchè  il virus da quello che ho capito si insinua nelle condivisioni x
espandersi
Controlla se non  hai sul disco un file detto TMP.ini che è la coppia del
win ini creata  dal virus se cè è probabile che dei pc in rete siano
infettati.
preso da FAQ su Opaserv
-----------------------------
mini-FAQ Opaserv
----------------
Versione 0.0.1a-pre-pre-alfa by HappyCactus
D: La connessione e' lenta, ho controllato sulle applicazioni in avvio
automatico e ho trovato un file scrsrv.exe, che cosa e'?
R: E' il sintomo dell'infezione dal worm Opaserv.
D: Opaserv? e chedd'e'?
R: Opaserv e' uno dei virus attualmente piu' diffusi in internet.
Un Worm e' un programma che si copia nei sistemi altrui, sfruttando
alcune vulnerabilita' e misconfigurazioni del tuo sistema windows.
D: Ma io ho l'antivirus, perche' non lo trovo?
R: L'antivirus e' aggiornato?
D: Come posso rimuovere opaserv?
R: Difendersi da opaserv e' abbastanza semplice, se uno ha l'accortezza
di prendere le adeguate precauzioni per chiudere le condivisioni dei
dischi e tenere aggiornato l'antivirus.
Consiglio di leggere innanzitutto le analisi del virus ai link che trovi
in fondo a questo documento.
Per prima cosa e' indispensabile chiudere le falle che permettono a
opaserv di entrare nel sistema.
Esso e' un worm classico, utilizza le condivisioni del disco C non
protette da password e quelle protette da password ma vulnerabili ad un
certo exploit.
Innanzitutto, quindi, bisogna proteggere tali condivisioni.
Il metodo piu' sicuro e' quello di rimuovere completamente la
condivisione file e stampanti di windows.
Tuttavia il primo passo e' quello di applicare la patch necessaria (solo
se hai Win98 o ME, invece Windows XP e 2Mila NON hanno bisogno di questa
patch). Via al sito indicato in fondo a questo documento e segui le
istruzioni.
Poi devi utilizzare un tool specifico, come quelli che trovi in fondo a
questo documento.
Oppure puoi eliminarlo a manina, le istruzioni le trovi sui siti delle
analisi.
D: Ho Win98/ME, come rimuovo le condivisioni ?
R: Segui le seguenti istruzioni.
Pannello di controllo -> rete -> TCP/IP (doppio click)
Vai alla pagina "Binding", dovrebbe esservi scritto "Condivisione file e
stampanti". Questa voce NON deve essere selezionata (non deve esservi la
crocetta di fianco).
Se hai anche una scheda di rete, la voce "TCP/IP" sara' presente assieme
a "Dispositivo di accesso remoto", scegli solo quella, altrimenti non
riuscirai piu' a condividere le risorse all'interno della rete locale.
Se la condivisione non serve affatto, eliminala completamente come
protocollo:
Pannello di controllo -> rete -> selezionare "Condivisione file e
stampanti" -> Elimina.
D: Ho Windows 2000/XP, come rimuovo le condivisioni?
R: ****da fare****
D: Ho una rete infetta, come rimuovo Opaserv?
R: Beh, con una rete le cose diventano un pelino piu' complesse.
Per prima cosa devi staccare completamente tutte le macchine della rete,
ho detto tutte! Quindi procedi a disinfestarle ad una ad una, patchando i
sistemi che lo richiedono, rimuovendo le condivisioni, o (se proprio non
puoi rimuoverle) proteggendole da password. Ricollega alla rete le
macchine solo quando sei sicuro che siano completamente pulite!
D: Ma e' un lavoro immane, non c'e' un metodo piu' semplice?
R: No.
D: Ma io non ho mai condiviso il disco C, perche' il virus entra lo
stesso?
R: Il disco C e' una condivisione amministrativa nascosa, quindi
accessibile anche se non l'hai fatto esplicitamente.
D: Io ho protetto le condivisioni con una password, perche' continuo ad
infettarmi?
R: Perche' non hai patchato il tuo Win98 o WinME. Corri subito ad
applicarla al sito in fondo alla pagina! e poi elimina gli share!
D: Non voglio eliminare gli share, come posso difendermi?
R: Puoi installare e configurare un firewall, ma attenzione, prima di
farlo devi capire come funziona e come configurarlo, altrimenti avrai un
falso senso di sicurezza o prenderai tanti spaventi per nulla. Leggi le
istruzioni sul sito del produttore del firewall che sceglierai, leggi le
far, leggi le securfaq.
D: Ho un firewall, da un po' di tempo continuano ad arrivarmi allarmi di
tentate intrusioni dall'ip (un-ip-qualunque) alla porta 137, che cosa e'?
R: Opaserv che cerca di infettarti. Sei il firewall ti allerta, vuol dire
che funziona bene. Disabilita gli alert e vivi felice!
D: Ho un firewall, da un po' di tempo continuano ad arrivarmi allarmi di
tentate intrusioni dall'ip (un-ip-qualunque) alla porta 137, Ho fatto la
scansione con l'AV ma non mi trova niente, aiutooooO!
R: Infatti: le connessioni vengono dall'esterno, non dall'interno. Il
virus e' al di fuori!
D: Opaserv viene rilevato nella cartella C:\_RESTORE, come faccio a
eliminarlo?
R: devi eliminare la cartella di restore di quel benedetto Windows ME /
XP. Cerca il link infondo alla pagina.
D: Al boot compare un messaggio "Impossibile eseguire il file
scrsrv.exe". cosa vuol dire?
R: Vuol dire che opaserv ha tentato di infettare il computer tramite una
condivisione aperta, ma non ci e' riuscito, ha solo modificato il win.ini
con la chiave
run = srcsrv.exe
Controlla comunque con un Antivirus aggiornato, ma soprattutto chiudi le
condivisioni!!!
------------------------
Link utili:
* Analisi:
http://www.sarc.com/avcenter/venc/data/w32.opaserv.worm.html
http://www.sophos.com/virusinfo/analyses/w32opaserva.html
* Removal tools:
http://securityresponse.symantec.com/avcenter/FixOpsrv.exe
* Patch per windows:
http://www.microsoft.com/technet/security/bulletin/MS00-072.asp
* Come rimuovere la system restore da windows:
ME:
http://service1.symantec.com/SUPPORT/tsgeninfo.nsf/docid/2001012513122239
XP:
http://service1.symantec.com/SUPPORT/tsgeninfo.nsf/docid/2001111912274039
--
ciaoH.