Newsgroup: it.news.net-abuse
Titolo: Virus in e-mail???

 wrote:
[cut]
:Ora, sebbene poco informato sull'argomento, credo sia ovvio che un virus può
:essere aperto solo eseguendo un file .exe.
:Mi sbaglio??
no
:E' forse possibile che un virus venga attivato solo aprendo il messaggio e
:non un eventuale allegato?
No, anche se in via teorica sarebbe possibile sfruttando un bug di buffer
overflow di alcuni programmi di posta (ora corretto); cmq non e` mai stato
utilizzato. Per maggiori informazioni cerca la faq di
it.comp.sicurezza.virus (gruppo preposto alla discussione di questi
argomenti, qui siamo totalmente off topic)
-- 
Ciao |Cerchi dei news server pubblici? Non trovi un ng approvato da|    
cf   |poco? Vuoi sapere come funziona la moderazione? Non capisci  | 
     |bene cos'e` usenet? Vuoi creare un nuovo newsgroup?          |
     |Prima di chiedere *LEGGI* l'INA FAQ su it.faq o it.news.aiuto| 

Ho ricevuto di recente un altro di quei messaggi in cui si parla di virus
spediti tramite e-mail.
Il solito tipo: non leggete un messaggio dal subject "XYZ" perchč scatena un
virus in grado di sbranarvi il computer e pure qualche membro della
famiglia.
I toni sono sempre piů allarmanti.
Ora, sebbene poco informato sull'argomento, credo sia ovvio che un virus puň
essere aperto solo eseguendo un file .exe.
Mi sbaglio??
E' forse possibile che un virus venga attivato solo aprendo il messaggio e
non un eventuale allegato?
Grazie,
-I9

no
Beh, ci sono anche i .com. ;)
Saluti

Beh, ci sono anche i .com. ;)
E se e' per questo, anche i .DOC, .XLS,.....
Che anche loro, come allegati, sempre come allegati, ovvio, possono essere
pericolosetti.
Se poi uno ha un noto prodotto di una nota casa di redmond ed ha richiesto
di usare un noto word processor come editor per la posta, puo' anche
beccarsi il due di coppe senza accorgersene.
Ciao.roberto
-- 
Save our planet!
Save wildlife;
For your E-MAIL use only recycled Bytes !!
roberto poggi  
rpo...@usa.net

 beccarsi il due di coppe senza accorgersene.
Il virus esiste, non e' particolarmente dannoso e puo' essere rimosso
facilmente, quindi evitiamo pericolosi allarmismi ma teniamo presente
che il problema esiste. 
Di seguito vi invio quanto ho ricevuto in merito.
Organization:  Centro di Calcolo - Dipartimento di Informatica di Pisa -
Italy
X-Mailer: Windows Eudora Light Version 3.0.1 (32)
Date: Wed, 03 Feb 1999 22:14:44 +0100
Subject: Articolo su Happy 99
Visto che nel giro di due giorni mi sono arrivate due mail
con l'attach descritto nell'articolo qui sotto, ritengo che
il problema sia un attimino da tenere in considerazione.
Se volete ho anche il file HAPPY99.EXE.
Non so se sia il caso di pubblicare l'articolo su qualche
gruppo di discussione "interno".
*****************************************
rubriche/informatica/VIRUS
Msg# 8844, 26/01/99 20:14 [6668]
Padre: Msg# 8842, Figlio: Msg# 8845
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Oggetto: Analisi nuovo worm: HAPPY99
I-Worm.Happy
-------------
Questo e' il primo, moderno Internet worm ("verme") conosciuto ad essere
scoperto "in the wild" (diffuso). Questo worm dei computer e' una sorta
di programma virus che per diffondersi non infetta dei file ma invece
usa come vettore le e-mail spedite via Internet, inserendo in allegato
alle e-mail una copia di se stesso.
Il worm e' stato spedito da qualcuno (forse lo stesso autore del worm)
su diversi server di notizie (Usenet newsgroups) nel gennaio 1999; in
pochi giorni si e' diffuso a macchia d'olio in Europa e continua a
diffondersi rapidamente.
Il worm arriva agli utenti come allegato alle e-mail, nella forma di un
file eseguibile con il nome HAPPY99.EXE. Allo scopo di dissimulare la
sua vera natura, quando viene eseguito il worm mostra sullo schermo un
simpatico effetto; dunque, si puo' affermare che presenta anche le
caratteristiche tipiche di un cavallo di troia.
Nel corso dell'esecuzione, il worm si installa nel computer,
intercettando delle chiamate di sistema che gli consentono monitorare
l'invio di e-mail su Internet; quindi converte una copia di se stesso
come allegato binario alle e-mail che vengono spedite. In questo modo il
worm, quando e' installato nel sistema, e' capace di inviare delle copie
di se stesso a tutti i destinatari delle e-mail che vengono spedite.
Quando si installa, il worm modifica soltanto dei file che risiedono
nella cartella di sistema di Windows. In tale cartella crea i file
SKA.EXE e SKA.DLL, copia il file WSOCK32.DLL nel file WSOCK32.SKA e
modifica la librearia originale WSOCK32.DLL allo scopo di intercettare
l'invio di e-mail.
 Rimozione e Protezione
 ----------------------
Se il worm viene identificato sul proprio sistema, la sua eliminazione
e' semplice e non costituisce un problema. Basta cancellare i file
SKA.EXE e SKA.DLL dalla cartella di sistema. E' anche necessario
ripristinare il file originale WSOCK32.DLL, cancellando il file
WSOCK32.DLL modificato dal worm e quindi rinominando il file WSOCK32.SKA
in WSOCK32.DLL. Anche il file HAPPY99.EXE dovrebbe essere localizzato e
cancellato.
Per proteggere il proprio computer da una nuova, possibile infeziona da
parte del worm e' sufficiente impostare gli attributi di sola lettura
del file WSOCK32.DLL. Il worm, infatti, non prevede alcuna gestione
dell'attributo di sola lettura e quando tenta di modificare un file
WSOCK32.DLL che possiede tale attributo fallisce nell'operazione.
 Alcuni consigli
 ---------------
Non aprire ed eseguire un eventuale file HAPPY99.EXE ricevuto in
allegato ad una o piu' e-mail. Anche se questo proviene da fonti di cui
si ha fiducia. E' anche necessario ricordare che i file prelevati da
Internet possono sempre contenere del codice pericoloso, capace di
infettare il proprio computer, compromettere dei dati, inviare
informazioni confidenziali su Internet o installare dei programmi-spia
capaci di monitorare il computer in remoto (backdoor). Quindi e' sempre
necessario prendere delle opportune precauzioni quando si preleva ed
installa del software ricevuto via e-mail.
L'apertura di documenti Office con la protezione dai virus disabilitata
e l'esecuzione di programmi sono operazioni molto rischiose. E'
necessario ricordare sempre questo principio ogni volta che si trova un
allegato nella propria posta elettronica.
 Dettagli tecnici
 -----------------
Il worm si presenta come un file di nome HAPPY99.EXE, lungo esattamente
10.000 byte.
Il file possiede una struttura interna del tipo Portable Executable
(PE), ovvero e' un programma a 32-bit per Windows. Il worm si installa
in sistemi Win95/98 e continua a diffondersi senza alcun problema.
Invece, a causa di errore di programma (bug), sotto Windows NT non e'
capace di diffondersi.
Il worm contiene delle stringhe di testo, alcune delle quali si
presentano in forma cifrata:
 Is it a virus, a worm, a trojan? MOUT-MOUT Hybrid (c) Spanska 1999.
 Happy New Year 1999 !!
 begin 644 Happy99.exe end
 \Ska.exe \liste.ska
 \wsock32.dll \Ska.dll \Ska.exe
Quando il file HAPPY99.EXE viene eseguito, il worm copia se stesso nella
cartella di sistema di Windows con il nome SKA.EXE e crea nella stessa
cartella il file SKA.DLL. Quest'ultimo file e' conservato in forma
cifrata e compressa all'interno del file HAPPY99.EXE.
Il worm duplica il file WSOCK32.DLL, usando il nome WSOCK32.SKA e quindi
modifica il file WSOCK32.DLL originale. Se il file WSOCK32.DLL e' in uso
da parte di qualche applicativo e non puo' essere aperto in scrittura,
il worm crea una nuova chiave nel Registro di sistema allo scopo di far
eseguire automaticamente il file SKA.EXE al prossimo riavvio
di Windows:
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnce=SKA.EXE
La modifica effettuata all'interno del file WSOCK32.DLL consiste nella
creazione di una routine di inizializzazione e nella redirezione di due
funzioni esportate dalla libreria dinamica.
La routine di inizializzazione e' rappresentata da un ridotto numero di
istruzioni (202 byte). Essa viene salvata alla fine del sezione di
codice presente in WSOCK32.DLL (la sezione ".text"). Il file WSOCK32.DLL
possiede abbastanza spazio per l'aggiunta di tale codice e dunque la
grandezza della DLL non aumenta in seguito alla modifica operata dal
worm. Quindi il worm modifica la "export table" della libreria
WSOCK32.DLL, in modo tale che le due funzioni "connect" e "send" puntino
alla routine di inizializzazione del worm, posta alla fine della sezione
di codice presente nel file WSOCK32.DLL.
Quando l'utente si collega ad Internet la libreria dinamica WSOCK32.DLL
viene attivata e il worm ha l'opportunita' di intercettare due eventi:
connessione e invio di dati. Il worm monitorizza le porte 25 e 119,
relative alla spedizione di e-mail (SMTP) e di "news" (NTTP). Quando
individua una connessione attiva su una di tali porte, il worm carica in
memoria la libreria dinamica SKA.DLL che esporta due funzioni: "mail" e
"news". A seconda del numero di porta, il worm chiama una delle due
routine, ma entrambe hanno la funzione di creare un nuovo messaggio, di
inserire in allegato il worm trattato con l'algoritmo UUENCODE e quindi
di spedire tale messaggio. Inoltre, il worm inserisce anche una sua
particolare "firma" nell'intestazione dei messaggi "infetti":
 X-Spanska: Yes
Mentre spedisce i messaggi che contengono il worm allegato, il worm
memorizza l'indirizzo del ricevente nel file LISTE.SKA, anch'esso creato
nella cartella di sistema di Windows. Questo file puo' contenere fino ad
un massimo di 5KB di dati e fino a 200 indirizzi presso i quali sono
stati spediti dei messaggi aventi il worm in allegato.
-- 
     (ZZZ)       Filippo Salotti, Bagni di Lucca, Lucca, Italy.
    //   \\  _                 E-mail : 
fil...@humnet.unipi.it
   /Y\    ZD<_o===============================================o
 .oZZZZZo.     | Studente Ingegneria Informatica Automatica  |
<OXXXXXXXO>    | Dip. Sistemi Elettrici Universita' di Pisa. |

Di seguito vi invio quanto ho ricevuto in merito.
[snip]
Dunque, ricapitoliamo, ci stiamo intrecciando su due problemi:
Uno: internet hoax, catene di S.Antonio allarmistiche su virus in email che
alla sola apertura del messaggio *ti si attaccano alle componenti del
computer rendendolo inutilizzabile* (testuale da alcuni degli ultimi
messaggi) .
Di queste, ne girano da anni alcune , wyn a holyday, join the crew, returned
mail , etc, e fanno piu' spreco di banda dei veri worm in circolazione.
Sono bufale. ( a parte un antenato di happy99, che l'anno scorso (circa)
aveva preso a prestito i lnome di uno di questi hoax, e IN ALLEGATO aveva un
worm simile)
Due: happy99.exe. Simpatico worm che come corettamente riportato, tende a
diffondersi sostituendosi alle API per l'invio delle mail e dei post usenet.
Come corollario al due, OGNI FILE ESEGUIBILE ALLEGATO ad un messaggio, puo'
scatenare la terza guerra mondiale, se ESEGUITO.
Trattasi comunque di allegati da eseguire, altrimenti sono una sfilza di bit
innocui in coda ad un messaggio.
Se volete, ve ne posso mandare una copia, di happy99.exe, giusto giusto
passata su un NG pochi giorni fa, da me scaricato, e si e' accoccolato li',
nella mia directory purgatorio, senza sortire nessun effetto, ed altri lo
hanno analizzato prima che lo buttassi sulla macchina frankestein per le
prove del caso.
Siamo comunque sempre a battere sullo stesso tasto:
Chiunque esegua senza preoccupazioni un allegato di posta, o un attach di
usenet, e' un imbecille ( non mi e' venuto, sul momento, un termine piu'
pesante :-) ).
Chiunque tenga un reader settato per eseguire TUTTO cio' che arriva, e'
molto peggio.
Chiunque produca un reader che obblighi ( per mancanza di settaggi) o sia
settato per default ad eseguire tutto cio' che riceve, per stupirvi con gli
effetti speciali, e' quanto di piu' simile a un criminale si possa  trovare
sul mercato .
Chiunque sia stato infettato da un messaggio di posta, SENZA eseguire
allegati, si faccia vivo che apriamo una nuova branca della telematica.
Ciao.roberto
PS Chiunque disquisisca su queste cose qui, invece che su
it.comp.sicurezza.virus, e' OT (mi fischiano le orecchie, chissa' perche') 


Oggetto: Analisi nuovo worm: HAPPY99
E' l'ottima traduzione curata da Paolo Monti, noto 
"guru" di sicurezza e antivirus, responsabile della
versione italiana di Antiviral Toolkit Pro della 
Kaspersky.
Sul sito della sua ditta, la Future Time, trovate
riportate anche altre analisi di virus piuttosto
diffusi e/o particolarmente aggressivi:
http://www.avp.it
Cordialita'
Mario Benvenuti
--
e-mail: 
mar...@isa.it
http://www.isa.it/computerville/
* PGP Key Available * 


:
% Oggetto: Analisi nuovo worm: HAPPY99
% 
% I-Worm.Happy
% -------------
% Questo e' il primo, moderno Internet worm ("verme") conosciuto ad essere
[CUT]