Newsgroup: it.discussioni.commercialisti
Titolo: quellicheilfisco - virus

mi arriva in ML un virus da tal "filippo fornari". occhio
titolo e-mail: "da pubblicare" (36kb)
saluti
sntf

  :

Pippo Fornari è un Ragg di BS, ma che non penso legga mai i NG.
Gli invio mail per informarlo
ciao
Paolo from Brescia (tessera # 2 gfc club),alias "riflesso dorato", alias "The Jocker".
It's a 106 miles to Chicago, we've got a full tank af gas,half a packet of cigarettes,it's dark and we're wearing sunglasses. Hit it.


non mi pare che si siano virus in quella e.mail;
dicci qualcosa di più
OP

 titolo e-mail: "da pubblicare" (36kb)
ma è un .pdf e la mail sembra sensata in linux il pdf si apre 
regolarmente insomma non sembra un virus
-- 
ciao
ku68
irc://
irc.freenode.net/openoffice.org-it
OpenOffice.org: usalo, copialo e regalalo, è legale! 
http://it.openoffice.org/

dicci qualcosa di piů
stessa e-mail, arrivata da sconosciuto (per me) sia nella ML che in altre due
caselle di posta, messaggio bloccato dal firewall
io obv non l'ho aperto, tu sě? cosa c'č dentro (ormai sono curioso)
saluti
sntf

regolarmente insomma non sembra un virus
come ho scritto a OP, la stessa identica e-mail è arrivata in 3 caselle di
posta, delle quali una usata per la ML. il firewall l'ha bloccata. a questo
punto, con le vostre informazioni, ipotizzo che:
1) il blocco del firewall sia dovuto al mittente sconosciuto
2) l'invio potrebbe essere dovuto ad un virus sul pc di partenza, senza però
infettare le e-mail in uscita
altre ipotesi?
saluti
sntf


a me ne è arrivata una soltanto dalla ML, passando al filtro del moderatore, dal firewall, dell'antivirus di posta e dell'antivirus.
La e.mail per me è regolare con un allegato pdf anch'esso regolare.
Notare peraltro che i destinatari sono multipli (cosa che difficilmente si trova nei virus che si diffondo per posta).
Prova a girarmelo
ciao
OP

 sntf
che sia la varicella?
Mor

 altre ipotesi?
che ti sia arrivata una mail infetta assieme a quella regolare


Prova a girarmelo
l'ho cancellato. cmq il messaggio del firewal è questo:
+++ external link in @ "filippo fornari" +++
+++ please check log +++ 
dall'help leggo che:
"APActiveCheck is a fast and easy to use utility to improve document security by
assuring that your PDF files do not contain Active Content.
APActiveCheck scans PDF documents and returns a report on each type and amount
of "Active Content" found. Active Content is any element that could compromise
security.
Don't be caught unaware and forced to revise and resubmit time sensitive
documents. Scan your PDF files with APActiveCheck and assure compliance before
submission. For example, documents destined for an archive can be checked to
assure they do not contain encrypted content or links to external web sites."
quindi presumo che vi sia un qualcosa di dinamico oppure un link esterno che il
firewall mi blocca come "non sicuro". se a questo aggiungi l'invio su altre due
caselle da mittente sconosciuto, la mia conclusione è stata "virus" ...
saluti
sntf


guarda che ti dice su quella che ti ho mandato adesso :-P

 regolarmente insomma non sembra un virus
Confermo pure io che il Panda Antivirus (che pure sembra un albero di Natale
x i virus che segnala) non lo blocca ed è un normale pdf
-- 
=== LasVegas Maniax ===
Il Blog 
http://lasvegasmaniax.splinder.it
Il Gruppo 
http://it.groups.yahoo.com/group/lasvegasmaniax/

>guarda che ti dice su quella che ti ho mandato adesso :-P
arrivata insieme a e-mail di "
bagn...@ftbcc.it
" dal titolo classico "stolen"
... a parte sta notazzzione, asp ...
..
boh, in effetti pare un banalissimo pdf
resta da scoprire il perchè degli invii "privati", cmq credo che non ci perderò
il sonno :-)
saluti
sntf

 Gli invio mail per informarlo
Ha partecipato al newsgroup nel periodo della preistoria. Già che gli scrivi puoi chiedergli conferma

non mi pare che si siano virus in quella e.mail;
Confermo; c'è in allegato un utile e innocuo file pdf.
Ciao
Conte Oliver (che non risponde in privato)
-Togli le scarpe per scrivermi una e-mail-

 boh, in effetti pare un banalissimo pdf
anche io l'ho ricevuto con anche gli indirizzi privati, l'ho aperto perchè
mi interessava ma l'antivirus di Mcaffe non ha rilevato nulla!!

 titolo e-mail: "da pubblicare" (36kb)
Che poca fiducia riponete nel moderatore :-)
A me è parso innocuo. E' un pdf che ho autorizzato in quanto non presentava
stranezze di sorta.
Ciao
FM

  :

Il Caro Filippo Fornari mi ha risposto dicendo che è praticamente
IMPOSSIBILE che un pdf abbia un virus.
Parole sue: "ho allegato un PDF che non può per sua stessa
composizione (è un file descrittivo postscript e quindi è in formato
ASCII) NON PUO' prendere virus."
Ciao!


 IMPOSSIBILE che un pdf abbia un virus.
non è esatto... copio e incollo ciao ku68:
*07/08/2001* - Primo worm del mondo in PDF
Autore dell'articolo: Bernardo Quintero 
bern...@hispasec.com
(libera traduzione viperesca al volo da
http://www.hispasec.com/unaaldia.asp?id=1017
)
Hispasec scopre OUTLOOK.PDFWorm, il primo worm che si presenta in un
file PDF (Portable Document Format), il famoso formato di Adobe
Acrobat. Non è l'unica novità: questo prototipo si distribuisce
utilizzando funzioni di Outlook mai viste prima in un worm.
E' dunque un virus da laboratorio che ha appena visto la luce, si
tratta di un seme che potrebbe far proliferare questo tipo di virus
inseriti in archivi PDF, un formato finora considerato sicuro per gli
utenti.
Progettato come prova concettuale, questo worm non è stato ottimizzato
per una diffusione di massa. Tra le altre limitazioni del progetto, è
necessario che l'utente da infettare abbia una versione completa di
Acrobat, dato che non funziona con il solo Acrobat Reader, che è
l'applicazione distribuita gratuitamente installata dalla maggior
parte degli utenti.
Il realizzatore di questo worm è Zulu, un argentino ampiamente
conosciuto nel mondo virale per le sue costanti innovazioni nel
settore dei worms, autore tra l'altro di "BubbleBoy", "Freelinks",
"The_Fly", "Monopoly" e "Life_Stages". Qui di seguito descriveremo
alcune delle funzionalità più di spicco di OUTLOOK.PDFWorm.
Arriva così...
L'autore si è dato da fare per dotare questo prototipo di un certo
polimorfismo nel suo aspetto a prima vista. Il worm può arrivarci
allegato ad una mail con uno dei seguenti testi che sceglie a caso per
comporre oggetto, corpo e nome del file con il quale si invia:
Oggetto (scelto a caso tra):
"You have one minute to find the peach"
"Find the peach"
"Find"
"Peach"
"Joke"
Con una probabilità del 50%, l'oggetto può essere preceduto dal
prefisso "Fw:" per simulare un inoltro o con il segno "!" alla fine,
mentre c'è una possibilità su tre che il testo sia scritto
completamente in maiuscolo.
Corpo (scelto a caso tra):
"Try finding the peach"
"Try this"
"Interesting search"
"I don't usually send this things, but..."
[oppure il testo scelto dall'oggetto]
Come per l'oggetto, il worm può effettuare alcune modifiche nel corpo
del messaggio, come iniziare con il carattere "> ", convertire tutto
il testo in maiuscolo o finire con il punto esclamativo "!". Infine,
con una probabilità dell'80%, può includere alcune delle seguenti
emoticons: " :-)", " :)", " =)" o
" :-]".
Il nome del file allegato viene scelto tra i seguenti:
"find.pdf"
"peach.pdf"
"find the peach.pdf"
"find_the_peach.pdf"
"joke.pdf"
"search.pdf"
Con una probabilità di 1 su 3, il nome del file può apparire in
caratteri maiuscoli o, con la stessa probabilità, avere in maiuscolo
solo la prima lettera.
Cerca di ingannarci simulando un gioco...
Quando l'utente apre il file allegato, per il quale è necessario avere
installato Acrobat, può visualizzare una schermata che simula un
gioco.
"You have un minute to find the peach!"
[Hai un minuto per trovare la pesca!]
Sotto a questo testo, appare un grafico formato da quadretti di 18x13
con miniature di posteriori nudi. Se ne può vedere l'immagine in
http://www.hispasec.com/pdfworm.gif
Di seguito, si viene invitati a fare doppio clic su un'icona per
vedere la soluzione del gioco, che in realtà attiverà il worm, scritto
in VBS, e che viaggia incorporato nel file PDf.
Infine, troviamo una nota che tenterà di impedire che l'utente esegua
lo script da una versione incompleta di Adobe Acrobat, come nel caso
di Acrobat Reader.
"Note: Acrobat full version (not Acrobat Reader) is needed to show de
solution."
Se si prova ad eseguirlo da Acrobat Reader, il worm non può portare a
termine la sua azione e appaiono messaggi di errore indicanti che
taluni metodi o funzioni non sono disponibili.
Il worm prende il controllo...
Se l'utente possiede la versione completa di Adobe Acrobat e fa doppio
clic sull'icona, si esegue il worm sviluppato in VBS.
Esistono tre versioni che si differenziano principalmente
nell'estensione e nell'uso della cifratura a seconda del formato
utilizzato: 1.0 in VBS (Visual Basic Script), 1.1 in VBE (VBScript
Encoded) e 1.2 in WSF (Windows Script File), ma tutte svolgono
praticamente le stesse funzioni.
La prima azione del worm, per non mettere sull'avviso l'utente e
fargli proseguire la simulazione del supposto gioco, consiste nel
creare un file .JPG e mostrare l'immagine che può essere vista su
http://www.hispasec.com/pdfworm2.gif
Poi, il worm inizia la sua routine di infezione, e per prima cosa deve
individuare il file PDF al quale allegarsi. Questo si rende necessario
perchè Adobe Acrobat utilizza una directory temporanea di Windows per
modificare ed eseguire il file allegato ricevuto inizialmente (il
.VBS, .VBE o .WSF a seconda della versione), e il worm non conosce il
percorso esatto dell'ubicazione del PDF nel quale viaggiava.
Per localizzare il file, il virus utilizza come riferimento
l'estensione e la dimensione, cercando files PDF tra 168.230 e 168.250
bytes. Nel codice del worm troviamo due routines per questa
operazione, una che utilizza Word nel caso in cui l'utente lo abbia
installato nel sistema, e che consiste nell'effettuare
la ricerca in tutte le unità esistenti, mentre l'altra routine, se non
si utilizzano le funzioni di Word, cerca ricorsivamente nelle
directory per mezzo del codice in Visual Basic Script.
Routine di diffusione...
Una volta localizzato il file PDF nel quale viaggerà, il worm cerca
gli indirizzi di posta a cui autoinviarsi. Il metodo utilizzato è
un'altra delle innovazioni mai viste in altri prototipi, e che si
differenzia dalla tipica routine basata su oggetti di Outlook tipica
di Melissa. In questo caso, vengono
scorse tutte le cartelle di Outlook e tutti i contatti della rubrica
(cercando fino ai primi tre indirizzi di ogni contatto), riunendo in
una variabile dimensionata tutti gli indirizzi di posta elettronica
rilevati.
In seguito, realizza un filtro di tutti gli indirizzi raccolti nella
variabile per evitare duplicati e nello stesso tempo filtra
l'indirizzo dell'utente già infetto che trova nella configurazione
SMTP esistente nel registro di Windows. Si regola su un limite massimo
di 100 messaggi per ogni infezione ed evita
di propagarsi due volte nello stesso sistema, per cui inserisce la
seguente stringa nel registro di Windows che indicherà l'infezione:
HKLM\Software\OUTLOOK.PDFWorm\"Version 1.x. By Zulu"
Il numero massimo dei 100 indirizzi raccolti si include nel campo CCN
(copia conoscenza nascosta) di un messaggio di posta elettronica le
cui caratteristiche (oggetto, corpo e file allegato) sono state
descritte all'inizio di questa analisi. In ultimo, si assicura di
cancellare il messaggio una volta inviato, così come il file PDF
situato nella cartella temporanea, per
evitare che l'utente se ne accorga.
Ultime considerazioni...
Come sua abitudine, Zulu non ha incluso alcuna routine distruttiva.
L'obiettivo del worm consiste nel dimostrare che i file PDF possono
contenere virus, trojans o altro codice maligno.
Da questo momento, gli utenti dovranno prendere le loro precauzioni
con i file PDF non richiesti, mentre i programmi antivirus dovranno
supportare un nuovo formato per proteggere gli utenti. Per ora nessuna
di queste applicazioni è in grado di individuare questo worm, né tanto
meno di ripulire un sistema
infetto.

ma l'antivirus di Mcaffe non ha rilevato nulla!!
Forse perchè hai la versione Mcaffe-d'orzo?
:-)))))))))))))))))))


IMPOSSIBILE che un pdf abbia un virus
caro riflesso, tutti i bollettini che si occupano di virus ribadiscono che non
si può propagare un virus con un pdf MA si possono fare altri numerosi sfaceli
(spy, worm, esecuzioni di activex, chiamate a siti web) e amenità varie. quindi
andiamoci piano nel sostenere che un file pdf è sicuro solo per il fatto di
avere quell'estensione: non è allarmismo, ma invito ad una maggiore prudenza. ti
elenco tutto quello che può essere attivato semplicemnte eseguendo un pdf:
Launch Actions - Launch an application.
Remote GoTo Actions - GoTo a page in another document.
URI Actions - Uniform Resource Identifiers can include either a URN or URL.
Submit Form Actions - Submit data to a URL.
JavaScript
External File References
Embedded Files
Postscript XObjects
Encrypted Content
cmq, dopo il controllo dell'ottimo OP, è risultati che **quel** file è ok
saluti
sntf

 ha scritto nel messaggio
news:c3otr3$2b7lvh$1...@ID-52247.news.uni-berlin.de...


Ho avuto questo problema:
purtroppo erano gg che non riuscivo effettuare downloads msg su questo NG
(gli altri si), indi non ho visto il vs msg di allerta ed ho fatto la grande
stupidata di aprirlo (per la prima v/) e cosa è successo??? all'inizio
nulla, antivirus non rilevato nulla, ma dopo i vs msg sono andata a
curiosare in esplora risorse e d ho trovato:
ha creato tantissimi file in alcune sottocartelle e/o cartelle; il file
xxxyyy.doc veniva rinominato con xxxyyy.doc.exe; con un lavoro di certosino
ho cancellato i files ed ho scoperto che uno dei files era un programma
.exe, quindi non uno con aggiunta di estensione.
Spero di essere stata chiara.
Eseguito antivirus: non compare nulla.
Eseguito con trova: tutti i file "creati" poi anche "modificati" oggi per
vedere se esistevano in gire dei altri file. Erano tutti con disegno di
Notepad
Uno strano rimasto è:
c:windows\
FVProtect.exe con disegno di notepad.
Che faccio?????
ciao
Agnese


 Ho avuto questo problema:
difficile aiutarti senza sapere che variante di virus hai eventualmente beccato.
prova a fare la scansione online
http://it.trendmicro-europe.com/consumer/products/housecall_pre.php
OP

 FVProtect.exe con disegno di notepad.
dovrebbe essere il worm.netsky_P
http://fr.trendmicro-europe.com/enterprise/security_info/ve_detail.php?VName=WORM_NETSKY.P
li trovi anche il link per il tool di rimozione
OP


Ieri non segnalava nulla, stamane appena aperto "trend micro office scan" mi
ha avvisato di questo virus. Ieri no assolutamente, eseguito antivirus e non
evidenziato nulla. spento e riacceso pc stamane. Uscito
worm_netsky.p c:\windows\fvprotect.exe unable to clean (unable to
Quarantine) .
questo msg è scritto due volte.
due virus trovati.
che devo fare???
ciao
Agnese

 che devo fare???
hai provato con il tool di rimozione alla pagina che ti ho segnalato ?
altrimenti devi intervenire manualmente come da istruzioni (nella stessa pagina)
Ma tu come antivirus utilizzi office-scan ?
se si, darei una ricontrollata alla configurazione e ai modi e tempi di aggiornamento automatico
perchč se quel virus č passato evidentemente il pattern non era aggiornato (stamane siamo al 835)
ciao
OP

 perchè se quel virus è passato evidentemente il pattern non era aggiornato


 (added by
postm...@mail-3.tiscali.it
)
From: 
m.se...@jumpy.it
To: 
pier...@tiscali.it
Subject: Mail Delivery (failure 
pier...@tiscali.it
)
Date: Wed, 24 Mar 2004 11:36:00 +0100
MIME-Version: 1.0
Content-Type: multipart/related;
 type="multipart/alternative";
 boundary="----=_NextPart_000_001B_01C0CA80.6B015D10"
X-Priority: 3
X-MSMail-Priority: Normal
Ciao
Piero
-- 
Leva LEDITADALNASO prima di mandarmi una e-mail