Newsgroup: it.discussioni.commercialisti
Titolo: Ancora Virus

Ho ricevuto questa mattina W32bugbear@mm però la posta che mi è arrivata non
aveva alcun allegato. Ora sta in quarantena con Norton. Come faccio a sapere
da chi è arrivato? Il nome del file è doc1.doc.pif
Ciao e grazie
--
A.Colabattista


dovresti postare l'header completo della mail
i comandi per vedere l'header sono funzione del prog che usi
se mi dici qual'è, e se lo conosco, posso darti una mano
ciao
-- 
=======================================
Marco Bottale dottcomm in Milano
egosumquisum<AT>
despammed.com
There are 10 kinds of people: those who
understand binaries and those who don't

 ha scritto nel messaggio
news:kIbp9.11527$%M1.2...@twister2.libero.it...


 da chi è arrivato? Il nome del file è doc1.doc.pif
se il messaggio lo vedi su autluk basta cliccare sul messaggio con il tasto destro e
selezionare proprietà; dovresti vederlo sulla seconda riga.
ciao
Oscar


per eliminare definitivamente questo VIRUS non basta NORTON!!!
Lo aggira incredibilmente.......la SYMANTECH e' corsa ai ripari diffondendo,
sul proprio sito internet (anche in Italiano), un programmino che e' in
grado, lanciandolo, di eliminare definitivamente il virus e modificando il
registro di Windows.
Saluti,
Alessandro


Purtroppo non hai risolto il problema!!
Per eliminare definitivamente questo VIRUS non basta NORTON!!!
Lo aggira incredibilmente.......la SYMANTECH e' corsa ai ripari diffondendo,
sul proprio sito internet (anche in Italiano), un programmino che e' in
grado, lanciandolo, di eliminare definitivamente il virus andando a
modificare il registro di Windows.
Saluti,
Alessandro

 ha scritto nel messaggio
news:3da54...@news.dada.it...


 poi uno ci clicca sopra...)
ed anche qui, un buon antivirus dovrebbe comunque impedirne
l'esecuzione.
Certo che se non si aggiornano OE, IE, l'antivirus, ecc ... e poi ci
si collega ad internet, è come camminare scalzi in un prato pieno di
siringhe!
ciao
--
FL
Roma

 č come camminare scalzi in un prato pieno di siringhe!
Rotfl! Che immagine poetica :-))
--
Paolo L
DC BG

W32.Bugbear@mm Removal Tool
Scoperto in data: October 1, 2002
Ultimo aggiornamento in data: October 4, 2002 08:29:38 AM
Cosa fa lo strumento di rimozione
Lo strumento di rimozione per W32.Bugbear@mm:
1. Interrompe i processi iniziati da W32.Bugbear@mm.
2. Elimina i file di W32.Bugbear@mm e la sua componente cavallo di Troia
(rilevata dagli antivirus Symantec sotto il nome di PWS.Hooker.Trojan)
3. Elimina il valore aggiunto dal worm al registro.
NOTA: lo strumento di rimozione elimina tutti i valori contenuti nella
seguente chiave di registro:
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnce
Il sistema operativo elimina di norma i valori contenuti in questa chiave,
non appena i processi vengono avviati. Tale operazione avviene
automaticamente. Il worm tuttavia ricrea il valore, che viene quindi
eliminato dallo strumento di rimozione. Prima di eseguire questo strumento
accertarsi di avere portato a termine correttamente ogni eventuale
installazione di software precedente e avere riavviato il computer, laddove
necessario.
Parametri della riga di comando utilizzabili con lo strumento di rimozione
Parametro Descrizione
/HELP, /H, /? Visualizza il messaggio di aiuto.
/NOFIXREG Disattiva le operazioni di riparazione del registro (si sconsiglia
l'uso di questo parametro).
/SILENT, /S Attiva la modalità invisibile.
/LOG=<nome percorso> Crea un file di registro in cui <nome percorso> è la
posizione su cui viene salvato il risultato dello strumento di rimozione.
Per impostazione predefinita, il file di registro Fxbgbear.log viene creato
nella stessa cartella da cui è stato eseguito lo strumento.
/MAPPED Sottopone a scansione unità di rete mappate (si sconsiglia l'uso di
questo parametro - vedi note).
/START Impone allo strumento di rimozione di avviare una scansione
immediata.
/EXCLUDE=<percorso> Esclude dalla scansione il <percorso> specificato (si
sconsiglia l'uso di questo parametro).
NOTA: l'uso dell'opzione /MAPPED non garantisce la completa rimozione del
virus sul computer remoto, poiché:
la scansione delle unità di rete viene effettuata solo sulle cartelle di
rete. Ciò significa che non necessariamente tutte le cartelle presenti sul
computer remoto vengono sottoposte a scansione, il che può comportare il
mancato rilevamento di un'infezione.
se viene individuato un file del virus sull'unità di rete, e se il computer
remoto sta utilizzando tale file, la sua rimozione non andrà a buon fine.
Per tutti questi motivi si consiglia di eseguire lo strumento di rimozione
su ciascuna singola macchina.
Come ottenere ed eseguire lo strumento di rimozione
NOTE:
E' necessario disporre di privilegi amministrativi per poter eseguire lo
strumento su Windows NT4/2000/XP.
Sono stati riportati casi, in particolare su Windows 95/98/Me, in cui è
stato necessario eseguire lo strumento di rimozione in Modalità provvisoria.
Se si riscontrano difficoltà nella sua esecuzione, innanzitutto scaricarlo
così come illustrato ai punti 1 e 2, quindi riavviare il computer in
Modalità provvisoria. Tutti i sistemi operativi Windows a 32 bit, ad
eccezione di Windows NT, possono essere riavviati in Modalità provvisoria.
Per istruzioni in merito consultare il documento Come avviare il computer in
Modalità provvisoria.
Se si è collegati a una rete è necessario sconnettersi, così come illustrato
al punto 5. Si tenga presente che una linea DSL o una connessione via cavo
vanno considerate come un tipo di rete a cui si è collegati.
1. Scaricare il file FxBgbear.exe dall'indirizzo:
http://securityresponse.symantec.com/avcenter/FxBgbear.exe
2. Salvarlo su una posizione di uso pratico, quale la cartella download o il
proprio desktop (oppure, se possibile, su un supporto rimuovibile che si
sappia con certezza non essere infetto).
3. Per informazioni su come verificare l'autenticità della firma digitale
consultare più avanti la sezione di questo stesso documento intitolata Firma
digitale.
4. Chiudere tutti programmi prima di eseguire lo strumento.
5. Se si lavora in ambiente di rete o si dispone di una connessione sempre
aperta a Internet scollegare la macchina dalla rete e da Internet.
6. Se si utilizza Windows Me o Windows XP disattivare Ripristino
configurazione di sistema. A tale proposito consultare più avanti la sezione
di questo stesso documento intitolata Opzione Ripristino configurazione di
sistema in Windows Me/XP.
NOTA: se si utilizza Windows Me/XP consigliamo vivamente di non saltare
questo passaggio.
7. Fare doppio clic sul file FxBgbear.exe per eseguire lo strumento di
rimozione.
8. Fare clic su Start per avviare il processo e consentire l'esecuzione
dello strumento stesso, lasciando che vada a termine.
9. Riavviare il computer.
10. Eseguire nuovamente lo strumento di rimozione per assicurarsi che il
sistema sia del tutto privo di infezioni.
11. Se si utilizza Windows Me o Windows XP riattivare Ripristino
configurazione di sistema.
12. Eseguire LiveUpdate per assicurarsi di disporre delle definizioni dei
virus più recenti.
NOTA: è possibile che la procedura di rimozione fallisca se Ripristino
configurazione di sistema di Windows Me/XP non viene disattivato come sopra
indicato, poiché Windows impedisce la modifica di Ripristino configurazione
di sistema da parte di programmi di terzi. In tal caso è possibile che lo
strumento di rimozione non funzioni.
Al termine della sua esecuzione viene visualizzato un messaggio indicante se
la macchina era stata infettata da W32.Bugbear@mm. In caso di avvenuta
rimozione del worm il programma visualizza i seguenti risultati:
il numero di file sottoposti a scansione
il numero di file eliminati
il numero di processi virali interrotti
il numero di voci di registro eliminate
Firma digitale
FxBgbear.exe dispone di una firma digitale. Symantec consiglia l'utilizzo di
copie di FxBgbear.exe scaricate esclusivamente dal sito Internet del
Symantec Security Response. Per controllare l'autenticità della firma
digitale procedere nel modo seguente:
1. Accedere a 
http://www.wmsoftware.com/free.htm
.
2. Scaricare il file Chktrust.exe e salvarlo nella stessa cartella su cui è
stato salvato FxBgbear.exe (ad esempio, la cartella C:\Downloads).
3. In base al proprio sistema operativo svolgere una delle seguenti
operazioni:
Fare clic su Start, puntare su Programmi, quindi fare clic su Prompt di
MS-DOS.
Fare clic su Start, puntare su Programmi, fare clic su Accessori, quindi
fare clic su Prompt dei comandi.
4. Accedere alla cartella su cui sono stati salvati FxBgbear.exe e
Chktrust.exe, quindi digitare:
chktrust -i FxBgbear.exe
Ad esempio, se il file si trova nella cartella C:\Downloads digitare i
seguenti comandi (premendo Invio dopo ciascuno):
cd\
cd downloads
chktrust -i FxBgbear.exe
Se la firma digitale è valida verrà visualizzato il seguente messaggio:
Si desidera installare ed eseguire " W32.Bugbear@mm Fix Tool " , firmato
10/1/2002 1:10 PM e distribuito da Symantec Corporation?
NOTE:
Se il computer non è impostato sul fuso orario americano della costa
pacifica la data e l'ora indicate nella finestra di dialogo vengono adattate
al fuso orario locale.
Se si utilizza l'ora legale, l'orario apparirà spostato in avanti
esattamente di un'ora.
Se non compare questa finestra di dialogo i motivi possono essere i
seguenti:
Lo strumento in questione non viene da Symantec. Se non si è assolutamente
certi della legittimità dello strumento e se non lo si è scaricato dal sito
Internet legittimo di Symantec non è consigliabile la sua esecuzione.
Lo strumento in questione è di Symantec ed è legittimo. Si è in precedenza
dato istruzione al proprio sistema operativo di accettare sempre qualsiasi
contenuto proveniente da Symantec; per informazioni in merito e per fare
apparire nuovamente la finestra di dialogo di conferma consultare il
documento (in inglese) How to restore the Publisher Authenticity
confirmation dialog box.
5. Fare clic su Sì per chiudere la finestra di dialogo.
6. Digitare exit, quindi premere Invio. Viene così chiusa la sessione di
MS-DOS.
Opzione Ripristino configurazione di sistema in Windows Me/XP
Si consiglia agli utenti di Windows Me e Windows XP di disattivare
temporaneamente l'opzione Ripristino configurazione di sistema. Tale
funzione, che per impostazione predefinita è sempre attivata, viene
utilizzata da Windows Me/XP per ripristinare file sul computer in caso siano
stati danneggiati. Quando una macchina contrae un virus, un worm o un
cavallo di Troia, è possibile che l'opzione Ripristino configurazione di
sistema crei una copia di backup di tali codici nocivi. Windows impedisce,
per impostazione predefinita, che Ripristino configurazione di sistema venga
modificato da programmi esterni. Esiste quindi la possibilità che il file
infetto venga ripristinato per errore, oppure che l'esecuzione di una
scansione in linea rilevi la minaccia presente sul computer. Se si
necessitano istruzioni su come disabilitare la funzione Ripristino
configurazione di sistema, consultare la propria documentazione di Windows o
uno dei seguenti documenti:
Come disattivare o attivare Ripristino configurazione di sistema in Windows
Me
Come disattivare o attivare Ripristino configurazione di sistema in Windows
XP
Per ottenere ulteriori informazioni e un'alternativa alla disattivazione di
Ripristino configurazione di sistema, consultare l'articolo del Knowledge
Base Microsoft (in inglese) intitolato Anti-Virus Tools Cannot Clean
Infected Files in the _Restore Folder, il cui ID è: Q263455.
Come eseguire lo strumento di rimozione a partire da un disco floppy
1. Inserire il disco contenente il file FxBgbear.exe nell'unità floppy.
2. Fare clic su Start, quindi su Esegui.
3. Digitare quanto segue, quindi fare clic su OK:
a:\fxbgbear.exe
NOTE:
non digitare spazi nel comando a:\fxbgbear.exe
se si utilizza Windows Me e non si disattiva Ripristino configurazione di
sistema viene visualizzato un avviso. E' possibile scegliere se eseguire lo
strumento di rimozione mantenendo attivata l'opzione Ripristino
configurazione di sistema oppure abbandonare l'operazione in corso.
4. Fare clic su Start per avviare il processo e consentire l'esecuzione
dello strumento stesso, lasciando che vada a termine.
5. Se si utilizza Windows Me, riattivare Ripristino configurazione di
sistema.

Rotfl! Che immagine poetica :-))
Giusto; poteva anche dire "pieno di ca*ate".
Sarebbe stato piů delicato!! :-)
Ciao
Alessandro Lumi-Dottore Commercialista
www.giottielumi.it
www.abconsul.it
(togli le scarpe per mandarmi una e-mail)