Newsgroup: it.news.net-abuse
Titolo: Dritta per gli spammer e i lamer

[Mode POLEMICA on]
Utilizzate pure Inwind, tanto non vi segheranno mai l'account.
[Mode POLEMICA off ]
--
"Comprendi il valore di ciň che hai solo quando lo perdi. E se non fai nulla
per ritrovare quello che hai perso, č come se lo perdessi un'altra volta."
=> A partire dal 30 giugno ricordate di eliminare lo "zero" dal mio
indirizzo e-mail per contattarmi in privato.

Utilizzate pure Inwind, tanto non vi segheranno mai l'account.
Non esserne sicuro.
-- 
ciao, |
Marco |  The Italian Usenet Cabal, Abuse Department (TINC)
"It's about damn time that all of us who actually give a damn about Usenet
stand up and tell the people who don't to fuck off and die." -- Russ Allbery

 ha scritto nel
messaggio news:2t3b62a1ebi661n3e9%m...@wonderland.linux.it...
| 
ZEROj...@vizzavi.it
 wrote:
|
| >Utilizzate pure Inwind, tanto non vi segheranno mai l'account.
| Non esserne sicuro.
No, caro Marco. Io ne ho la sicurezza. L'abuse di Inwind non interviene. E'
tempo perso segnalare loro abusi, tanto non ti segheranno mai e poi mai
l'account.
Ormai è da un mese che invio segnalazioni all'abuse di Inwind contro un
lamer che imperversa in una ML che io frequento, il quale ha inviato trojan,
virus, catene di S.Antonio, micacce, imprecazioni (ok, queste ultime due non
sono net-abuse, ma l'invio di virus e trojan credo che siano un motivo più
che sufficiente), ecc... ed è ancora lì, vivo e vegeto che posta dal suo
account inwind, con la sua connessione inwind.
Mi dispiace contraddirti ma è così.
Capirai di certo il mio tono polemico, ma questa è la verità: oltre la loro
stupidissima reply automatica, non fanno nulla.
--
"Comprendi il valore di ciò che hai solo quando lo perdi. E se non fai nulla
per ritrovare quello che hai perso, è come se lo perdessi un'altra volta."


 Mi dispiace contraddirti ma č cosě.
E credo abbia tutto il diritto di postare fino a quando non viola il
contratto con la Wind.
-Stefano

 ha scritto nel messaggio
| No, non lo e'. Non e' che se prendo un virus e questo finisce anche in
| una ML di cui ho memorizzato l'indirizzo, allora e' un motivo perche'
| l'account mi sia chiusa.
Uh? Guarda che il virus e il trojan sono stati postati apposta (non sono
cosě idiota) e il tipo
l'ha pure detto esplicitamente (dopo).
Poi un trojan non č un worm che si spedisce da solo.
| E credo abbia tutto il diritto di postare fino a quando non viola il
| contratto con la Wind.
Ok... da domani mi metterň anch'io a postare virus e trojan, visto che
il "contratto" lo permette.
Un abuse serio avrebbe preso subito provvedimenti.
Per fermare questo tipo dobbiamo ricambiarlo con la stessa moneta?
--
"Comprendi il valore di ciň che hai solo quando lo perdi. E se non fai nulla
per ritrovare quello che hai perso, č come se lo perdessi un'altra volta."


 Poi un trojan non è un worm che si spedisce da solo.
Appunto, non è net abuse ma un preciso reato penale, che va denunciato 
come tale alle autorità competenti. Poi vedrai che l'account andrà di 
conseguenza.
-- 
Problemi di Sircam? Tool al 
http://users.iol.it/marrob/Sircam_sucks.vbs
Per W95 e W98. WMe? Sembra anche. Puoi scaricarlo e distribuirlo gratis
http://users.iol.it/marrob/nuccino.htm

Per fermare questo tipo dobbiamo ricambiarlo con la stessa moneta?
Per ora non hai mostrato alcuna particolare "moneta". Ne alcun "net
abuse".
-Stefano

 conseguenza.
Se e' vero.  Bisognerebbe dimostrare che lo ha effettivamente postato
apposta allo scopo di recare danni.
-Stefano

 apposta allo scopo di recare danni.
Già, e può essere sufficiente conoscere la natura del virus e forse 
anche guardare gli header, se trovi X-Mailer: Microsoft Autluk Express 
5.50.4522.1200 sai che nemmeno i virus lo vogliono più usare per 
spedirsi ;)


conosci qualche trojan che si autospedisce?
alek
-- 
vuoi guadagnare navigando? datti alla pesca d'altura!
 "Ciù un o l'è grammo e ciù vedde grammi i ätri." (Angelo IDCG)

 conosci qualche trojan che si autospedisce?
Si, esempio W32.BadTrans e per certi versi lo stesso hybris. Ma forse 
Josedam sta parlando di un Subseven.

 conosci qualche trojan che si autospedisce?
Conosci virus che si attaccano ad attachment che tu alleghi senza sapere
che sono infette?
-Stefano

 che sono infette?
Si però in tal caso esiste per lo meno la *colpa* e sta' al mittente 
a fronte di denuncia dimostrare la buona fede; la cosa IMHO è molto 
diversa. Nella fattispecie il lamerozzo che Ti avesse insultato e/o 
minacciato pubblicamente avrebbe bisogno di ottime ventose per 
arrampicarsi sugli specchi.

 arrampicarsi sugli specchi.
Fino ad ora non ho visto minacce (di cui gli abuse non c'entrano proprio
nulla) e gli insulti non sono stati presentati.
-Stefano

 nulla) e gli insulti non sono stati presentati.
Leggo al terzo post " .... il quale ha inviato trojan, virus, catene di 
S.Antonio, micacce, imprecazioni ...". Poi non ho la sfera di cristallo 
e me ne importa poco, ma io al suo posto la denuncia la farei al volo. E 
siccome tutti i salmi finiscono in gloria il pirla spende i soldi di 
avvocato e a lui per lo meno rimborsano i suoi.

Si, esempio W32.BadTrans e per certi versi lo stesso hybris. 
hybris? e' anche un trojan?


 ha scritto nel messaggio
| Lo puoi dimostrare? Qual'e' la differenza tra un virus "postato apposta"
| e uno "non postato apposta"?
Uno che dice, postando  con un indirizzo falso (cioè il MIO): "Eccovi la
nuova configurazione di [...]" che dici, lo fa apposta oppure no?
Uno che dice, "Certo, sono stato io... volevo sapere se qualcuno se lo
beccava", secondo te, lo ha fatto apposta oppure no?
| Possibile che vi abbia fatto "contenti".
Uh?
| Potrebbe sempre aver infettato, a mia insaputa, l'allegato che avevo
| spedito normalmente.
E insisiti? Se ho postato in questo NG l'ho fatto perchè sono sicuro che il
tipo l'ha fatto apposta.
| E per cosa? Se gli abuse dovessero prendere provvedimenti per ogni virus
| che passa INVOLONTARIAMENTE per la rete non farebbero altro tutto il
| giorno.
Non so se ci fai o ci sei. Il virus è stato postato VOLONTARIAMENTE.
E postare virus a me sembra più grave che spammare, visto che un virus
"pesa" più di una mail di spam.
--
"Comprendi il valore di ciò che hai solo quando lo perdi. E se non fai nulla
per ritrovare quello che hai perso, è come se lo perdessi un'altra volta."


 ha scritto nel messaggio
| Se e' vero.  Bisognerebbe dimostrare che lo ha effettivamente postato
| apposta allo scopo di recare danni.
No, l'ha postato perchè voleva fare del bene... :-/
--
"Comprendi il valore di ciò che hai solo quando lo perdi. E se non fai nulla
per ritrovare quello che hai perso, è come se lo perdessi un'altra volta."


 ha scritto nel messaggio
| Si però in tal caso esiste per lo meno la *colpa*
Dolo, non colpa.
--
"Comprendi il valore di ciò che hai solo quando lo perdi. E se non fai nulla
per ritrovare quello che hai perso, è come se lo perdessi un'altra volta."


 ha scritto nel messaggio
| Già, e può essere sufficiente conoscere la natura del virus
a) era un trojan;
b) il tipo ha utilizzato il MIO indirizzo e-mail per inviarlo (visto che
l'avevo bacchettato già una volta).
--
"Comprendi il valore di ciò che hai solo quando lo perdi. E se non fai nulla
per ritrovare quello che hai perso, è come se lo perdessi un'altra volta."


 ha scritto nel messaggio
| No, non esiste alcuna "colpa".  E' esattamente come un Hybris o uno
| degli altri virus: lo invii inconsapevolmente.
Hybris NON E' UN VIRUS, è un WORM.
Io so benissimo la differenza che passa tra un WORM (se vuoi saperlo ne
ricevo a decine, tra Hybris, Magister e SirCam e non mi sono mai sognato di
denunciare nessuno per questo, perchè so benissimo come funzionano, visto
che è più di un anno che bazzico in rete e lurko molto spesso i NG dedicati
all'argomento) e un TROJAN.
I  trojan non si autospediscono, a differenza dei worm.
Se ho postato in questo NG è perchè so di quello di cui sto parlando.
| Fino ad ora non ho visto minacce (di cui gli abuse non c'entrano proprio
| nulla) e gli insulti non sono stati presentati.
?
--
"Comprendi il valore di ciò che hai solo quando lo perdi. E se non fai nulla
per ritrovare quello che hai perso, è come se lo perdessi un'altra volta."


 ha scritto nel messaggio
| Conosci virus che si attaccano ad attachment che tu alleghi senza sapere
| che sono infette?
L'allegato NON ERA un file infetto, era un TROJAN puro!
--
"Comprendi il valore di ciò che hai solo quando lo perdi. E se non fai nulla
per ritrovare quello che hai perso, è come se lo perdessi un'altra volta."


 ha scritto nel messaggio
| Certo che se invii un virus puro (cioč non un file infetto) ad uno che
| non Te lo ha chiesto, che non se ne farebbe niente e che hai appena
| insultato ... stai fresco.
Per fortuna tu hai capito perfettamente la situazione.
| Leggo al terzo post " .... il quale ha inviato trojan, virus, catene di
| S.Antonio, micacce, imprecazioni ...". Poi non ho la sfera di cristallo
| e me ne importa poco, ma io al suo posto la denuncia la farei al volo. E
| siccome tutti i salmi finiscono in gloria il pirla spende i soldi di
| avvocato e a lui per lo meno rimborsano i suoi.
Il problema č questo:
a) non voglio prendermi noie di questo genere (so cosa significa adire le
vie legali... e ti assicuro che non ne vale assolutamente la pena per queste
baggianate);
b) per fortuna non ho subito danni;
Quello che volevo chiedervi: lo spam č considerato net-abuse e l'invio
DOLOSO
di trojan, virus no? In base a quale ratio? Credo che un virus "rubi piů
risorse" di una mail di spam, o no?


 ha scritto nel messaggio
| Si, esempio W32.BadTrans e per certi versi lo stesso hybris. Ma forse
| Josedam sta parlando di un Subseven.
Ora non ricordo bene il nome del trojan: era di pochi bytes, il Norton non
lo riconosceva, ma il mio PC-cellin l'ha subito bloccato.
Cmq, mi pare che si chiamasse TROJAN_TANK o qualcosa del genere. (cmq un
vecchissimo trojan creato molto anni fa).
--
"Comprendi il valore di ciò che hai solo quando lo perdi. E se non fai nulla
per ritrovare quello che hai perso, è come se lo perdessi un'altra volta."


 Se ho postato in questo NG è perchè so di quello di cui sto parlando.
Mmmh...
-- 
 Daniele Orlandi
 Planet Srl

avvocato e a lui per lo meno rimborsano i suoi.
Ne dubito... Ne dubito seriamente.
Resta il fatto che non ci sono "net abuse" che debbano essere presi in
considerazione dall'abuseman, fino ad ora.
-Stefano

"pesa" piů di una mail di spam.
Ripeto: non puoi dimostrarlo che sia stato fatto volontariamente.
-Stefano

 No, l'ha postato perchè voleva fare del bene... :-/
Oppure semplicemente perche' era infetto.
-Stefano

 Se ho postato in questo NG è perchè so di quello di cui sto parlando.
Fino ad ora sai che e' stato inviato un virus. Nulla di piu'.
-Stefano

di spam, o no?
Perche' il virus puo' esserci finito inconsapevolmente dal mittente.
Nel tuo caso il "net abuse" sta nel "morphing" del mittente (che e'
anche reato) e non nella presenza del virus.
-Stefano

 considerazione dall'abuseman, fino ad ora.
Si configura anche lo spamm se il virus non è del tipo "autoinviante" 
ovvero un worm nella sua accezione classica.

 b) per fortuna non ho subito danni;
Con questa logica ci rimettono sempre e solo i più deboli ed è sintomo 
una scarso sentir civile. E' come lo spamm se non lo si combatte oggi se 
ne viene sommersi domani.

Si configura anche lo spamm se il virus non è del tipo "autoinviante"
No, se c'e' attachment.
-Stefano

, 
dece...@interfree.it
 
says...
Se ti do' ragione riuscirai mai a dimostrarmi che ho torto ? ;)

 Nemmeno. 100 denunce basate sul nulla continuano a non dimostrare nulla.
Non preoccuparti che alla 101 denuncia qualcosa puzza anche alle AG e si
fanno il culo per andare in fondo...

 ha scritto nel messaggio
news:3B639D0E...@interfree.it...
| Josedam wrote:
| >
| >Quello che volevo chiedervi: lo spam è considerato net-abuse e l'invio
| >DOLOSO di trojan, virus no?
|
| Devi dimostrare il DOLO!!!  E' qui che non capisci.
Quello che non capisce sei tu... oppure lo fai apposta.
Il tipo ha allegato un trojan ad una mail, scrivendoci su: "Cliccate qui per
avere le configurazioni [...]"...
Nella mail non c'erano altri allegati, c'era solo quello... quando il tipo è
stato scoperto (perchè poco prima aveva postato una mail e gli headers
combaciavano e cmq non era la prima volta che "trollava" nella ML, ha
confessato, prima dicendo che la colpa non era sua, ma di suo CUGGINO che
era un programmatore della Norton [ROTFL - ndr] che gli aveva fatto uno
scherzo postando l'allegato in ML (cosa che cmq non avrebbe migliorato di
certo la sua posizione, visto che lui è responsabile del suo account e
password) e poi, dicendolo che era stato lui e non il fantomatico CUGGINO e
che se voleva poteva INCHIAPPETTARCI tutti se avesse modificato il MIME col
telnet.
Naturalmente, si è aperto un flame che si è concluco con micacce (SE VENGO
LI TI SPACCO LA FACCIA) e imprecazioni (COGLIONI, DALL'ANM D CHITEMMURT).
Ma sicuramente il tipo non l'ha fatto apposta, vero?
Ma per favore...
| Perche' il virus puo' esserci finito inconsapevolmente dal mittente.
E dalle.
| Nel tuo caso il "net abuse" sta nel "morphing" del mittente (che e'
| anche reato) e non nella presenza del virus.
Sta il fatto che, nonostante la segnalazione ANCHE del morphing, l'abuse
InWind se ne è letteralmente sbattuta.
--
"Comprendi il valore di ciò che hai solo quando lo perdi. E se non fai nulla
per ritrovare quello che hai perso, è come se lo perdessi un'altra volta."


 ha scritto nel messaggio
| Allora perchč vieni a piagnucolare;
Io non vengo qui a piagnucolare: io pretendo che l'abuse di Inwind faccia il
suo dovere. La denuncia penale č qualcosa di accessorio e indipendente dalla
denuncia all'abuse.
| forse perchč una e-mail ad un abuse
| costa meno in termini di impegno e di tempo.
Di impegno, di tempo e di sbattimenti e rogne varie. Hai mai querelato
nessuno in vita tua? Lo sai cosa mi hanno detto i Carabinieri quando sono
andato da loro a sporgere una querela per un pugno preso in faccia?
| Ne vale la pena eccome, c'č
| gente che denuncia il vicino perchč il gatto gli caca nell'aiuola; se lo
| fanno stai tranquillo che a qualcosa serve.
Dovrebbe servire in un "mondo ideale"...
| > b) per fortuna non ho subito danni;
| Con questa logica ci rimettono sempre e solo i piů deboli ed č sintomo
| una scarso sentir civile.
Si', certo... ora siamo tutti degli eroi e si sente perfino l'echeggiare
delle trombe in sottofondo...  salvo poi trovarti tu in quella situzione.
Siamo tutti buoni a giudicare quello che fanno o che non fanno gli altri.
Cmq, qui stiamo andando OT.
|E' come lo spamm se non lo si combatte oggi se
| ne viene sommersi domani.
Io lo spam lo combatto, ma solo in sede *civile*. Tu per caso quereli tutti
quelli che spammano sui NG o nella tua casella e-mail? Se lo fai, beh...
tanto di cappello, hai tutta la mia ammirazione e rispetto.
Ma se non lo fai, come puoi giudicare gli altri che non lo fanno?


 ha scritto nel messaggio
| E come fai a dire che era lui?
O Madonna... abbiamo analizzato gli headers ed erano identici a quelli di un
suo post precedente... poi l'ha pure detto esplicitamente.
| Se postava con un indirizzo falso ha commesso un abuso e forse anche un
| reato.
| Lo segnali per quello e non certo per il virus che potrebbe comunque
| esserci finito inconsapevolmente.
a) nella denuncia ho indicato anche questo;
b) il virus NON ci è finito incosapevolmente.
| Se tutti avessero puntato il dito contro di lui e lui, dopo rottura di
| coglioni, alla fine vi fa contenti e scrive quella frase, direi che
| dimostrerebbe ben poco.
Dimmi che lo fai apposta, ti prego.
| Ma e' un TUA sicurezza non dimostrabile.
AMMETTENDO che il virus l'abbia inviato lui VOLONTARIAMENTE, questo E' UN
NET-ABUSE oppure no?
| Non lo puoi dimostrare.
E invece sì.


 ha scritto nel messaggio
| No, e' un TROJAN, infatti necessita di una tua azione perche' si attivi.
| SIRCAM, Hybris, Magister sono TROJANs.
| CodeRed e' un WORM.
Chissà perchè su it.comp.sicurezza.virus dicono il contrario...
Mettetevi d'accordo.
Poi mi devi spiegare come fa un virus ad attivarsi senza una tua azione...
magari anche in pvt se qui siamo OT.
Leggi inoltre questa newsletter:
---------------------------------------------------------------
Guida a Sircam e come cercare di limitare i danni
----------------------------------------------------------------------
Buongiorno,
poiche', sfortunatamente e grazie al micidiale Outlook Express, il mio
indirizzo e-mail si trova nella rubrica di oltre 186.000 utenti Internet...
e nello stesso tempo il virus Sircam si sta propagando in una maniera
spaventosa, ho deciso di applicare un sistema che lo elimina alla radice,
cioe' spostandolo direttamente in posta eliminata (anche se ci sarebbe la
possibilita' di eliminarlo dal server).
Intanto vediamo come e' fatto:
Il virus:
Sircam **********fa parte della categoria dei Worm********* e puo'
diffondersi via Internet oppure attraverso computer collegati in rete
locale. Il worm in questione e' costituito da un file eseguibile di circa
130 KB di lunghezza scritto in Delphi (un compilatore prodotto da Borland).
Al momento della diffusione, il worm puo' appendere a se stesso un file DOC,
XLS, ZIP o di altro tipo (come quelli che vi diro' piu' sotto), quindi la
lunghezza del worm puo' essere superiore ai 130 KB.
Una volta eseguito (ad esempio, per mezzo di un clic del mouse su un file
allegato a un messaggio di posta elettronica) il worm si installa nel
sistema, invia dei messaggi infetti che hanno il worm in allegato, infetta
dei computer collegati in rete locale, se sono presenti dei drive condivisi,
e in base alla data di sistema esegue il proprio payload (routine
distruttiva).
Come si diffonde via e-mail
Il worm invia se stesso da computer infetti sotto forma di allegato a dei
messaggi di posta elettronica. Il file allegato ha un nome variabile e una
estensione doppia e quindi puo' essere facilmente identificabile.
Esempio:
nomefile.ext1.ext2
dove "ext1" può essere una delle seguenti estensioni
DOC, XLS, ZIP, EXE
Mentre "ext2" viene selezionata casualmente tra
PIF, LNK, BAT, COM
Ad esempio:
feb01.xls.pif
normas.doc.bat
Il "nomefile.ext1" viene determinato da uno dei file presenti sulla macchina
infettata: il worm, infatti, compie una ricerca sul computer usando come
parametro l’estensione "ext1" e una volta trovato un file che soddisfa tale
condizione, ne usa il nome per determinare quello dell’allegato infetto.
Quindi il worm legge il contenuto del file trovato, lo appende in coda a una
copia di se stesso e la spedisce sotto forma di allegato a un messaggio di
posta elettronica.
I file infetti che vengono spediti via e-mail sono costituiti da due parti:
1.una copia del worm
2.un file appeso in coda al codice del worm, selezionato casualmente tra
file DOC/XLS/ZIP/EXE presenti sul sistema infetto
La cosa piu' devastante e' che il metodo di  diffusione usato dal worm puo'
causare la trasmissione di informazioni riservate.
Il messaggio di posta elettronica ha come oggetto il nome del file in
allegato. Il corpo del messaggio puo' essere in due linguaggi: inglese e
spagnolo. La prima e l’ultima riga sono sempre uguali:
Prima linea : Hi! How are you? Hola como estas ?
Ultima linea: See you later. Thanks Nos vemos pronto, gracias.
Esiste anche un contenuto variabile tra la prima e l’ultima riga e viene
selezionato fra le seguenti stringhe di testo:
I send you this file in order to have your advice
I hope you can help me with this file that I send
I hope you like the file that I sendo you
This is the file with the information that you ask for
Te mando este archivo para que me des tu punto de vista
Espero me puedas ayudar con el archivo que te mando
Espero te guste este archivo que te mando
Este es el archivo con la información que me pediste
Il worm ottiene gli indirizzi e-mail ai quali spedire se stesso effettuando
una scansione dei file che possono contenere indirizzi di posta elettronica:
SHO*, GET*, HOT*, *.HTM, *WAB e altri.
Il risultato delle varie ricerche effettuate dal worm viene memorizzato in
una serie di "false" DLL all’interno della cartella di sistema:
SCD.DLL: contiene una lista dei file con estensione "ext1"
SCH1.DLL, SCI1.DLL: contengono una lista degli indirizzi di posta
elettronica trovati nei file sottoposti a scansione.
SCW1.DLL: contiene l’elenco di indirizzi e-mail trovati nella Rubrica di
Windows.
Oltre a questi file, possono esserci anche i file SCT1.DLL e SCY1.DLL dove
il worm memorizza altri dati.
Come si installa sul sistema
Una volta infettato il PC, il  worm copia se stesso in
1.La cartella speciale \RECYCLED del drive dove e' stato installato Windows
usando il nome SirC32.exe. Ad esempio, se Windows e' presente nella cartella
C:\Windows, il worm copiera' se stesso in C:\RECYCLED\SirC32.exe
2.Nella cartella di sistema di Windows con il nome Scam32.exe
3.Nella cartella Windows con il nome ScMx32.exe
4.Nella cartella di Esecuzione automatica di windows con il nome "Microsoft
Internet Office.exe"
E’ da notare che tali azioni non vengono compiute dal worm la prima volta
che viene eseguito, alcuni file infatti vengono creati a seconda del
verificarsi di certe condizioni. Tutti i file creati hanno impostato l’
attributo "nascosto"
Il worm registra i due primi file all’interno del Registro di sistema
HKLM\Software\Microsoft\Windows\CurrentVersion\RunServices
Driver32 = %windows sytem directory%\SCam32.exe
HKCR\exefile\shell\open\command
SirC32.exe
Quindi estrae nella cartella temporanea di Windows il file che ha
memorizzato alla fine del proprio codice, aprendolo con l’applicazione ad
esso associata: WINWORD.EXE, WORDPAD.EXE, EXCEL.EXE, WINZIP.EXE, a seconda
del tipo di file.
Il worm crea un’ulteriore serie di chiavi nel Registro dove memorizza altri
dati
HKLM\SOFTWARE\SirCam
Come si diffonde in rete locale
Per diffondersi in rete locale, il worm enumera tutte le risorse di rete del
computer infettato, ottenendo tutte le cartelle remote condivise, dove copia
se stesso. Se esiste una cartella \Recycled nella cartella condivisa, il
worm vi crea una copia del proprio codice usando il nome SirC32.exe. Quindi
modifica il file AUTOEXEC.BAT inserendo alla fine del file la linea
@win \recycled\SirC32.exe
Se esiste una cartella \Windows, il worm rinomina il file RUNDLL32.EXE in
RUN32.EXE e quindi sovrascrive il file RUNDLL32.EXE originale con una copia
di se stesso. Il worm imposta l’attributo nascosto sulle proprie copie.
La routine del payload
A seconda della data e del tempo di sistema, con una probabilità di 1 a 20
il worm cancella tutti i file sul drive dove e' installato Windows e quindi
rimuove tutte le cartelle.
Ogni volta che viene eseguito, con una probabilita' di 1 su 50, il worm crea
un file SirCam.sys nella cartella radice del drive corrente e vi scrive il
seguente testo, cifrato nel codice del worm:
[SirCam_2rP_Ein_NoC_Rma_CuiTzeO_MicH_MeX]
[SirCam Version 1.0 Copyright © 2001 2rP Made in / Hecho en - Cuitzeo,
Michoacan Mexico]
Sembra che il worm scriva queste frasi in un ciclo continuo, con l’intento
di esaurire lo spazio libero disponibile sul disco. Altra cosa antipatica...
A causa di errore presente nel codice del worm, le routine del payload non
vengono eseguite correttamente, rendendo il worm meno pericoloso di quello
che doveva essere nelle intenzioni del suo autore. Ad ogni modo, la prima
routine (cancellazione di tutti i file nel drive di Windows) verrà eseguita
nel caso in cui le copie del worm SIRC32.EXE, SCAM32.EXE e RUNDLL32.EXE
vengano rinominate ed eseguite.
(Fonte: informazioni  ed analisi a cura di Paolo Monti e  Eugene Kaspersky
di 
http://www.avp.it
 )
La regola di posta utilizzata:
Ecco come ho fatto: utilizzando Outlook Express, sono andato in
Strumenti-Regole Messaggi-Posta elettronica. Poi su Nuova. Adesso nel campo
1 (Selezionare le condizioni della regola) ho settato “In cui il corpo del
messaggio contiene parole specifiche”
ed ho inserito esattamente:
Hi! How are you?
Le quali sono le parole che si trovano come testo standard nella mail che
accompagna il virus.
Aggiungete anche In cui la casella A contiene contatti e ci mettete il
vostro indirizzo e-mail.
Dopo di che, nel campo 2, ho settato la casella Elimina il messaggio. Per
sicurezza se avete altre regole, spostate questa in alto (= cioe' Outlook
Express fa in modo che sia la prima ad essere applicata).
Fatto questo, le mail con virus saranno buttate direttamente nel cestino.
E con questa abbiamo anche messo a tacere un altro noioso virus...
Se invece avete aperto l'allegato e siete infetti, fate un giro qui:
http://www.symantec.com/avcenter/venc/data/w32.sir...@mm.removal.tool.h
tml
A domani!
Luigi


InWind se ne è letteralmente sbattuta.
Questo non lo puoi sapere. L'utente potrebbe aver ricevuto una
segnalazione da parte dell'abuse.
-Stefano

 E invece sě.
Vedi sopra.
-Stefano

 ha scritto nel messaggio
| Se e' per questo in tutti gli attachment delle mail devi cliccare per
| farli partire.
| Questo non dimostra alcun dolo pero'.
Sě, sě certo. :-|
--
"Comprendi il valore di ciň che hai solo quando lo perdi. E se non fai nulla
per ritrovare quello che hai perso, č come se lo perdessi un'altra volta."


 ha scritto nel messaggio
| Direi di no. E' un normale comportamento su Usenet: a chi rompe i
| coglioni si da la ragione. Ma sentito dire il detto: la ragione si da ai
| matti?
| Hai ragione: ha messo lui il virus consapevolmente.
| Contento?
*PLONK*.
--
"Comprendi il valore di ciň che hai solo quando lo perdi. E se non fai nulla
per ritrovare quello che hai perso, č come se lo perdessi un'altra volta."


 Sircam **********fa parte della categoria dei Worm********* e puo'
SirCam non e' ne' un virus, ne' un worm, non e' infatti in grado di
replicarsi autonomamente. Non e' neanche un Virus perche' non usa un
veicolo di infezione.
Certo e' che questa terminologia e' spesso abusata...


mascherandosi da qualcosa che non e'.
Non necessariamente, comunque i trojan prendono il nome dal famoso
cavallo, indicando che sono virus mascherati da qualcosa di innocuo.


E' esattamente quello che ho scritto io.


E' esattamente quello che ho scritto io.
Rileggendo bene, hai ragione.

Certo e' che questa terminologia e' spesso abusata...
Symantec lo definisce Worm; io mi fido.

 Symantec lo definisce Worm; io mi fido.
Il Jargon dice:
http://info.astrian.net/jargon/terms/v/virus.html
http://info.astrian.net/jargon/terms/w/worm.html
http://info.astrian.net/jargon/terms/t/Trojan_horse.html
Io mi fido.
P.S. Se symantec ti dicesse che e' un pomodoro blu, riusciresti
ragionando a capire che non e' vero ?


Io mi fido.
mi fido di una fonte riconosciuta autorevole finche' non trovo una
migliore ragione per non fidarsi, e i link postati possono essere una
di quelle.
Comunque, quando un contadino dice che un pomodoro e' blu, non gli do
torto a priori, ma cerco di capire se beve e, in caso negativo, cosa
diavolo ha quel pomodoro che lo differenzia dagli altri pomodri che
lui riconosce come rossi.

 ha scritto nel messaggio
news:9k3thh$27b9t$1@ID-
| Comunque, quando un contadino dice che un pomodoro e' blu, non gli do
| torto a priori, ma cerco di capire se beve e, in caso negativo, cosa
| diavolo ha quel pomodoro che lo differenzia dagli altri pomodri che
| lui riconosce come rossi.
Daltonismo? ;-)


Daltonismo? ;-)
pas possible, il daltonico sono me.

 No, caro Marco. Io ne ho la sicurezza. L'abuse di Inwind non interviene.
..ma il NIC si ...!
KM

 ha scritto nel messaggio
news:9k6utk$2vajm$1@ID-
| ..ma il NIC si ...!
Bene, che devo fare? Oggi in mailing list abbiamo ricevuto un mailbombing
con script maligni
provenienti nuovamente dal tipo in questione (connessione Inwind
naturalmente).
Sono stufo... ora passo all'azione.
Dimmi che devo fare per segnalare InWind al NIC.
--
"Comprendi il valore di ciň che hai solo quando lo perdi. E se non fai nulla
per ritrovare quello che hai perso, č come se lo perdessi un'altra volta."


 Dimmi che devo fare per segnalare InWind al NIC.
prova con 
ab...@na.nic.it
KM