Newsgroup: it.news.net-abuse
Titolo: Attacco virus worm leggendo solo i NG

se andate in "free.it.religioni.cristianesimo" 
c'è un messaggio "Stage6 Video Downloader KEYGEN 
  6167   [2/2]".
Se clicco anche solo sull'intestazione nella 
sezione oggetto c'è AVAST che si mette a gridare 
e mi dice che c'è un worm.
Al posto del messaggio compare, cito testualmente:
---
" avast! Antivirus: In arrivo messaggio INFETTO:
\C:\Documents and 
Settings\Administrator.UNIMATRIX007.000\My 
Documents\KEYGEN.exe#1895171233 
(Win32:IRCBot-BSX [Wrm]) e' stato cancellato dal 
messaggio.
Virus Database (VPS): 000782-3, 19/10/2007
Controllato il: 20/10/2007 15.54.16
avast! - copyright (c) 1988-2007 ALWIL Software.
http://www.avast.com
    "
Come è possibile?
Ci saranno in quel messaggio collegamenti a siti 
pericolosi?

 6167   [2/2]".
ha ragione avast
non scaricarlo

Rispondo qui sotto a MOD 400 che ha scritto:

Anche Kaspersky mi ha segnalato la cosa su questo e su altri NG
ArchiPit

 Come è possibile?
è un post con allegato binario, ovvero con allegato un file exe che è
appunto il worm
probabilmente stai usando un news server che:
non sega gli allegati in un ng non binario (male)
e
non sega gli allegati virus/spammatori (malissimo)
come per esempio newsland
altri (mailgate, ma credo sia defunto) lo fanno
-- 
Ciao!
Andrew McBlues
msn: mcblues78 at 
people.it

Andrew McBlues ha scritto:

Si è fatto vivo in 
"it-alt.comp.software.gratuito" con un messaggio 
"Windows Vista KeyGen 7718 [2/2]".
Ma come è possibile che si immettano tali 
diavolerie nei NG e non lo becca nessuno?

 ArchiPit
Su questo? Visto nulla, nessun allegato binario da queste parti.
Faccio due ipotesi:
1) zio roadkill funziona benissimo, ma 
tin.it
 non onora i suoi cancel.
2) kaspersky vede la stringa di avvertimento del post a cui rispondi,
e la riconosce come parte delle sue firme. Non ho un kaspersky con cui
provare, chi ce l'ha, provi a salvare come eml il post di allarme, e a
passarlo all'antivirus.
-- 
           |Save our planet!
    Ciao   |Save wildlife!
   roberto |For your E-MAIL use ONLY recycled Bytes  !!
           |roberto poggi   
rpo...@softhome.net

 diavolerie nei NG e non lo becca nessuno?
Cambia server, quella merda di 
news.tin.it
 non merita alcuna
considerazione, bisognerebbe spargere calce viva sulle loro macchine e
sul newsrotflmaster.
-- 
yo| icq: 197-276-683 - msn: 
bubba....@gmail.com
bb| jabber: 
bubba....@jaim.at
Gemellato con lo spirito di Thorin Oakenshield
N.P.: New Christs - Divine Rites - Like A Curse

 diavolerie nei NG e non lo becca nessuno?
e che vuoi che ti dica? del resto se tutti lo segano, meno 2, questi due
se ne fregano... e se nessuno denuncia il fatto, questo vive felice!
tu, hai denunciato il fatto?


 tu, hai denunciato il fatto?
Io di quei post neanche l'ombra... Evidentemente roadkill è arrivato prima, 
oppure chi è prima di me (o il mio cleanfeed) ripulisce la coda... Comunque 
son curioso, se qualcuno ha l'eml me lo mandi...
--
Gandolfo "Infinity" Ivo
Sysadmin 

][Subject:UnrealTournament 3 KeyGen  7304   
[2/2]][Time:2007/10/21 08:52:23]\C__Documents and 
Settings_Phiber_Desktop_newsgroups_VIRI_KeyGEN.PARADOX.exe//PELock
Quello che mi rompe è che il primo risulta eliminato, e gli altri 4 
sono stati solo rilevati. Strano, perchè io avevo detto a Kaspersky di 
cancellarli tutti e mi aveva dato risposta positiva.
Quasi quasi ricarico il ghost fatto casualmente 2 gg fa...
ArchiPit

 Ieri ho visto arrivare il virus su 11 NG tra quelli da me seguiti
Io su nessuno.
E da quello che dici dopo, non era un falso positivo, non ho nemmeno
visto nessun post con quel subject.
Ora, visto che qui dovrebbero transitare newsmaster in abbondanza, si
potrebbe forse scoprire di piu' se dicessero la loro. ;-)


 potrebbe forse scoprire di piu' se dicessero la loro. ;-)
Attendiamo con impazienza un loro commento... :-) :-)
ArchiPit


Distribution: 4gh
Organization: Hitnews.EU - 
http://www.hitnews.eu
 -
NNTP-Posting-Host: somehost
X-Trace: Posted through -> 
News.Hitnews.EU
 <-
X-Complaints-To: 
ab...@hitnews.eu
Path: TK2MSFTNGP01.phx.gbl!TK2MSFTFEEDS02.phx.gbl!
news-out.cwix.com
!
newsfeed.cwix.com
!
image.surnet.ru
!
newsfeed.freenet.de
!
xlned.com
!
feeder1.xlned.com
!hwmnpeer03.ams!
news.highwinds-media.com
!
transit5.hitnews.eu
!
upload.hitnews.eu
!
hitnews.eu
!not-for-mail
Xref: TK2MSFTNGP01.phx.gbl microsoft.public.it.internet_explorer:71333 microsoft.public.inetserver.iis.smtp_nntp:14540
oefnliltcokwrdbmnvdpptkcjfhgvvfvzsxchgnblzwjpjkdqoz
-- 
    * b *
  *   y   *
*   Piero   *
[ /audaces fortuna iuvat/ ] 

 
Io sono su 
news.tiscali.it
Il messaggio incriminato è presente ma mi viene segnalato da  Avast.
Nicola