Newsgroup: it.comp.sicurezza.varie
Titolo: Come blocare alcuni files zippati

Su un server della mia azienda con Windows 2000 server ho installato
Microsoft Excange
e Symantec Antivirus con l'estensione di filtering for Exchange.
Questo mi permette di bloccare tutti gli allegati alla posta aventi alcune
estensioni
che ritengo possano minacciare il sistema.
Purtroppo alcuni files che vorrei fermare (.bat, .com, ...) arrivano
compressi o come
.zip o .rar o altro e non saprei come fare per fermarli se non fermare
brutalmente
questo tipo di file.
Purtroppo per lavorare è necessario che questo genere di files possa
arrivare allegato
alla posta, ma allora chiedo se è possibile filtrare il contenuto di questi
files compressi
e bloccarli solo se contengono un file con una estensione che ritengo
minacciosa ?
Ciao e grazie a tutti.
Enrico

 fermarli se non fermare brutalmente questo tipo di file.
Hm .. scusa ma lo scanner (Antivirus) non controlla anche questi
files ? Nel caso impostalo in modo che la scansione avvenga
anche per i files compressi e non solo per quelli eseguibili, in
questo modo (avendo l'accortezza di mantenere l'antivirus che
usi aggiornato) gli allegati potrebbero venire "bonificati" ..
Ciao

 files ?
Bagle (e probabilmente ne arriveranno altri) arriva come file zippato
con pwd, e l'AV non lo può aprire per "scannarlo".
La pwd è nel testo della mail, che chiede all'utente, con l'aiuto di un
po' di social engineering, di aprirlo e lanciarlo... e c'è pure chi ci casca,
ca##o. :-(((
Bye, G.

 di aprirlo e lanciarlo... e c'è pure chi ci casca, ca##o. :-(((
Informazione/formazione dell'utenza.
Ma nel frattempo che aspettiamo che gli imbec^H^H^H^H^Huton^H^Henti si
evolvano, pare che la regexp 
/^Message-ID:\s<[a-z]{19,19}\@.*>$/
Per intanto riesca a matchare le mail generate da bagle...
-- 
wash the blood from your hands
bury your secrets in the sand
and forget

 ca##o. :-(((
Beh ... basta che l'AV se non riesce ad aprire lo zip
faccia un controllo sul file zip stesso per vedere se
"matcha" (vabbè, espressione sfigata, passatemela)
i bytes relativi allo zip del virus (birus ? <g>)

 Per intanto riesca a matchare le mail generate da bagle...
Questa qui
(Mail transaction failed\. Partial message is available\.|The message
contains Unicode characters and has been sent as|The message cannot be
represented in 7-bit ASCII encoding
an|test|hi|why)(.*?)(UEsDBAoAAAAAAHEKPDDKJx\+eAFgAAABYAAAMAAAAZ|TVqQAAMAAAAE
AAAA\/\/8AALgAAAAAAAAAQ|PTDKJx\+eAFgAAABYAA)+
fa fuori DOOM ed alcuni derivati ... (just in case) :-)
PS:
hai qualche regexp toZta (a parte "[A-a]ffan[C-c]..." ecc...) ??

 hai qualche regexp toZta (a parte "[A-a]ffan[C-c]..." ecc...) ??
Nulla di recente o particolare, al momento, sorry...



Se l'AV lo hai fatto tu e/o te lo puoi programmare, hai ragione :-)
Se è uno commerciale, dubito che si possa impostare qualcosa
di simile, a meno che non inseriscano nelle firme anche quella
relativa al file compresso... ma sarebbe troppo facile da fregare.
Bye, G.

 Nulla di recente o particolare, al momento, sorry...
OKyz

> Sgranocchiando il cranio di ObiWan, vi trovai inciso:
Dmentycavo ... ti posso droppare una mail in privato ??
(schiuss l'OT ma "quando ce vņ ce vņ" :-D ...)

 (schiuss l'OT ma "quando ce vň ce vň" :-D ...)
facesse pure, la mail sopra č valida...
anzi.. mo' tiro fuori il portatile, che le leggo da lě...


 po' di social engineering, di aprirlo e lanciarlo...
Comunque antivirus gateway tipo ISVW lo rilevano lo stesso ( se non hai
escluso dalla scansione i file zip chiaro);
Può essere che il pattern lo faccia con un or tra il file zippato (non
processabile perchè password  protected) ed il testo della mail
(visto che fa social enginering, tale testo non può essere poi tanto
casuale, quindi sarà sicuramente indentato nel codice del virus con limitate
possibilità di varianti).
Ma visto come viene inserita la password nel body della mail non mi sembra
poi così impossibile ricavarla per aprire il file
(richiederebbe però una modifica allo scan engine oltre che al correto
pattern, immagino).
"
If the attachment is a password protected zip, one of the following lines
will be included in the body:
  a.. archive password: %password%
  b.. password: %password%
  c.. pass: %password%
"
Ciao!

 Per intanto riesca a matchare le mail generate da bagle...
Qualche altro suggerimento che mi viene in mente: l'helo (unqualified e
uppercase) e i timeout SMTP (molto bassi).
Fabio

 hai escluso dalla scansione i file zip chiaro);
Mi fai venire in mente una cosa... probabilmente lo ferma anche il nostro
Trend Officescan, perchè non ne ho ancora visto uno :-)
Un Paperino che va a frugare sui log del Sun...

 ne ho ancora visto uno :-)
Toh .. un'altro che usa il mio stesso AV :-)
Li ferma .. li ferma (garantisco) .. beh vabbè
io uso pure 
http://assp.sourceforge.net
 che
grazie ad alcune "regexp" ne becca già un
buon 60% .. in ogni caso il Trend li FERMA
(e se hai anche il Trend MailScan beh.. non
c'è proprio storia <g>) :-)
Ciao